1Password detecta "atividade suspeita" em conta interna da Okta

• A 1Password, gerenciadora de senhas amplamente usada, detectou atividade suspeita em sua própria conta da Okta.
• Essa atividade suspeita foi detectada em 29 de setembro e imediatamente interrompida.
• Pedro Canahuati, CTO da 1Password, confirmou que os dados dos usuários e os sistemas sensíveis não foram comprometidos.
• A empresa está trabalhando com a Okta para descobrir como um invasor desconhecido conseguiu acessar a conta.
• Foi confirmado que essa violação foi resultado da invasão relatada pela Okta em seu sistema de gestão de suporte ao cliente.
• O invasor obteve arquivos HTTP Archive (HAR), que contêm informações sensíveis como cookies de autenticação e tokens de sessão.
• A 1Password é o segundo caso conhecido entre clientes da Okta a ter sido alvo em ataques subsequentes.
• O invasor também acessou o tenant da Okta da 1Password, usado para gerenciar acesso e permissões aos sistemas.
• O invasor atualizou o IDP (provedor de identidade) usado para autenticar o ambiente de produção fornecido pelo Google.
• Desde então, a 1Password alterou as configurações de seu tenant da Okta para reforçar a segurança.
• A invasão da Okta faz parte de uma série de ataques contra grandes empresas que fornecem software ou serviços a clientes de grande porte.

[GN⁺]

Opinião do Hacker News

• Terceirizar o login único (SSO) não diz respeito apenas à facilidade técnica ou à capacidade, mas também a garantir aos clientes que isso está sendo tratado por um provedor confiável.
• A transição do 1Password do armazenamento offline e local para o armazenamento baseado em nuvem e o modelo de assinatura ampliou as preocupações com a segurança dos dados.
• O colapso da complexidade e da visibilidade, mesmo seguindo as melhores práticas de design, pode gerar vulnerabilidades significativas.
• O incidente do 1Password pode levar empresas a migrar para YubiKeys para 2FA, já que qualquer coisa inferior ao FIDO2 é considerada fraca.
• Alguns usuários questionam a escolha do Okta como IDP, considerando seu histórico de violações de segurança.
• A culpa pelo incidente é do Okta, por solicitar sessões HAR codificadas em texto puro para solucionar o problema sem a devida sanitização.
• Alguns usuários preferem gerenciadores de senhas com auto-hospedagem e sincronização própria em vez de serviços online, por razões de segurança.
• São necessárias melhores práticas e ferramentas inteligentes para aplicativos que monitoram comportamentos suspeitos.
• O 1Password é o segundo cliente conhecido do Okta a ser alvo no ataque subsequente em que a Cloudflare também foi vítima.
• Apesar da possível violação, as senhas dos usuários devem estar seguras, pois são criptografadas em repouso e em trânsito.