戴尔、AT&T、Verizon、Capital One 和其他公司的员工通过流行的办公应用程序暴露信息

大规模数据泄露暴露了员工凭证，影响了大约 900 家公司和组织，其中包括戴尔、Verizon、AT&T、能源部、康卡斯特和大通。

    2024 年 3 月 25 日，Cybernews 研究团队发现了一个可公开访问的网络目录，属于总部位于马里兰州的公司 Simpli（前身为 Charm City Concierge）。

    该公司的应用程序允许租用办公空间的公司员工查看位于同一栋大楼内的商店。它列出了可用的便利设施、工作场所福利和折扣，并允许用户订购各种服务和产品。

    该开放网络目录存储了该公司网站和 Simpli 应用程序数据库于 2024 年 1 月制作的备份。泄露的应用程序备份暴露了约 900 家公司的 10,000 名员工的电子邮件地址和散列密码。

受影响的公司包括：

• 第一资本

• 海军分析中心

• 美国律师协会

• 微策略

• 剑桥大学

• 戴尔

• 威瑞森

• 康卡斯特

• 跨西部

• 我们工作

• 信托之星银行

• 美国电话电报公司

• 全国残疾人理事会

• 能源部

• 追赶

带注释的订单信息

    由于大多数员工使用公司电子邮件地址注册了 Simpli 服务，因此这会带来重大风险。威胁行为者可能会利用凭证填充攻击，攻击员工可以访问的更敏感的公司系统。

    Cybernews 信息安全研究员 Aras Nazarovas 表示：“虽然员工凭证以相对安全的格式存储，但密码仍然可以被破解，尤其是弱密码。”

    “如果员工对多个账户使用相同的密码，破解的密码可能会被用来登录其他更敏感的与工作相关的端点。”

    泄露的数据库还曝光了通过该应用程序下达的订单，其中一些订单包含可能含有敏感运营信息的记录。这些记录包括不同公司人员之间的会议细节以及会议目的。

在开放目录中发现的文件表明，此次暴露可能发生在公司将其系统从 Drupal 7 迁移到 Drupal 9 时。Cybernews 已联系 Simpli，但尚未收到回复。

供应链攻击风险

    此次泄密事件凸显了使用第三方服务可能带来供应链攻击风险的固有风险。在此类网络攻击中，威胁行为者会寻找供应网络中较弱的元素，而不是直接针对公司。

通过入侵一家供应商，攻击者可能会影响使用该供应商产品或服务的公司。从第三方提供商提取的凭证对于已经瞄准公司的恶意行为者来说非常有用。

    零售商 Target 就曾遭受过此类攻击。2013 年，一名恶意攻击者可能入侵了 Target 的制冷、供暖和空调分包商 Fazio Mechanical，并将恶意软件传播到 Target 的大多数销售点设备。据报道，该恶意软件收集了大约 4000 万张借记卡和信用卡的财务详细信息。

    提供第三方服务的公司和组织应该警惕网络安全问题，因为他们可能会成为寻找更大目标的攻击者的目标。

原文始发于微信公众号（OSINT研习社）：戴尔、AT&T、Verizon、Capital One 和其他公司的员工通过流行的办公应用程序暴露信息