Auth0 警告：2020年以前のコード・リポジトリが流出したが Okta には影響なし

Auth0 warns that some source code repos may have been stolen

2022/09/28 BleepingComputer — 認証サービスプロバイダーであり、Okta の子会社でもある Auth0 は、同社のコード・リポジトリの一部に関わる、”Security Event” と呼ぶものを公表した。Auth0 の認証プラットフォームは、AMD／Siemens／Pfizer／Mazda／Subaru などを含む、30カ国 2000社以上の企業ユーザーにより、毎日 4200万回以上のログインの認証に使用されている。

同社が月曜日にブログ投稿で明らかにしたように、2020年以前（Okta による 2022年2月の買収以前) の複数のコード・リポジトリ・アーカイブが、同社の環境から未知の手段で流出したようだ。

Auth0 は、「8月の下旬に、第三者である個人が、2020年10月以前における特定の Auth0 コード・リポジトリの、コピーを所持していると Okta に通知した。当社の調査では、このインシデントによる顧客への影響は確認されていない。また、顧客による対応は必要ない」と述べている。

同社と第三者のサイバーセキュリティ・フォレンジック会社が、このデータ流出について調査したが、これまでのところ、侵害の証拠を見つけることはできなかったという。

Auth0 は、「最近に終了した２系統の調査において、当社／顧客の環境に対する不正アクセスの証拠は発見されず、また、データの流出や持続的アクセスの証拠も発見されなかった。また、法執行機関にも通知した。Auth0 のサービスは完全に稼働し、安全な状態を維持している」と述べている。

“Security Event” の開示は詳細を欠く

Auth0 は、コードにバンドルされた情報が、将来的に企業や顧客のシステムへのハッキングに使用されないようにするための、予防的措置を取ったとしている。

Auth0 のはブログ記事では、これらの発見された事実に関して、コンテキストと詳細を共有すると述べているが、同社のシステムからデータが流出した原因について、情報を提供することはできまなかった。

さらに、この悪意の行為が実施された時期や、”予防措置” を取らない場合に、コード・リポジトリに含まれる情報から、どのようにして同社の環境にアクセスが可能だったのかという情報も不足している。

Auth0 の親会社であり、認証サービスの大手プロバイダーである Okta は、１月に発生した Lapsus$ データ強奪グループによるサイバー攻撃で、2.5% (およそ375件の顧客) が影響を受けたと、３月に発表している。この発表の１カ月後に Okta は、Lapsus$ の侵害による影響は 25分間であり、わずか２件の顧客に影響したという、予想を大きく下回る被害について明らかにした。

Uodate：Okta の広報担当者は、本日未明の BleepingComputer からの問い合せに際して、追加の詳細説明は行わずに、Auth0 のブログ投稿に従って、以下の声明を発表した。

Okta — セキュリティは、当社の最優先事項の１つであり、顧客データおよび関連情報を保護し、安全を確保する責任を非常に重視している。先月に、Auth0 のプラットフォームに関連する、第三者によるセキュリティ・インシデントが発生した。当社は直ちに大手サイバーセキュリティ・フォレンジック会社と共同で調査を実施したが、不正アクセス／データ流出イベント／持続的なアクセスなどの証拠は確認できなかった。Auth0 サービスは完全に稼働しており、安全である。この ”Security Event” は、他の Okta 製品に影響を与えるものではない。このインシデントについては、顧客と連絡を取り合っている。 

2022年8月19日の「Okta を侵害した Lapsus$：影響を受けたテナントは２件のみだった」と、8月25日の「Twilio／Okta ハッキングの全容：背後にいる脅威アクターの追跡も始まる」にあるように、Auth0 の親会社である Okta でもインシデントが発生していました。そして、今回の Auth0 におけるコード・リポジトリの流出ですが、Okta による買収以前のものであり、被害は広がらないという見解を示しています。サプライチェーン攻撃などに至らなければ良いですね。よろしければ、Okta で検索も、ご利用ください。