De helpdesks van organisaties die klant zijn van authenticatieplatform Okta zijn de afgelopen weken het doelwit geweest van social engineering-aanvallen, waarbij de aanvallers probeerden om de multifactorauthenticatie (MFA) van 'highly privileged users' te resetten. Vervolgens gebruiken de aanvallers hun toegang tot Okta super admin-accounts om zich als andere gebruikers binnen de aangevallen organisatie voor te doen. Dat meldt Okta in een blogposting.

Okta biedt een platform waar wereldwijd duizenden bedrijven gebruik van maken om werknemers toegang tot systemen en applicaties te geven. Het bedrijf werd vorig jaar zelf ook het slachtoffer van een aanval. Bij de aanvallen waarover Okta nu bericht waren de helpdesks van klanten het doelwit. De aanvallers weten de helpdeskmedewerkers zover te krijgen dat ze de MFA van accounts met hogere rechten verwijderen. Het ging de aanvallers vooral om gebruikers met super administrator rechten.

Volgens Okta lijkt het erop dat de aanvallers voordat de social engineering-aanval plaatsvindt over de wachtwoorden van de privileged user accounts beschikten of de authenticatie via Active Directory manipuleerden. Zodra een super admin-account was gecompromitteerd werd het account gebruikt om andere accounts hogere rechten te geven en/of authenticators van bestaande admin-accounts te resetten. In sommige gevallen besloten de aanvallers de 2FA-vereiste uit het authenticatiebeleid te verwijderen.

Bij de volgende stap van de aanval maakten de aanvallers gebruik van een eigen tweede identiteitsprovider, die als "impersonation app" werd ingesteld. Daarmee kregen de aanvallers in naam van andere gebruikers toegang tot applicaties binnen de aangevallen organisaties. Dit is mogelijk vanwege 'inbound federation'. Daarmee is het mogelijk om toegang tot applicaties van een 'target' identiteitsprovider te krijgen als de gebruiker zich eerst bij een 'source' identiteitsprovider heeft ingelogd.

Bij hun eigen 'source' identiteitsprovider wijzigden de aanvallers de gebruikersnaam voor de aangevallen gebruiker, zodat de naam overeenkwam met een echte gebruiker bij de 'target' identiteitsprovider. Volgens Okta is inbound federation vooral populair bij grote organisaties die met overnames en fusies te maken hebben. Gebruikers van de verschillende organisaties, met elk hun eigen identiteitsproviders, kunnen zo toch toegang tot de relevante applicaties krijgen. Hoeveel organisaties precies zijn getroffen laat Okta niet weten. De aanvallen deden zich voor tussen 29 juli en 19 augustus.