云存储提供商 Snowflake 数据泄露，165 家组织受影响
内容提要
根据谷歌Mandiant发布的报告，Snowflake的客户数据泄露事件已影响约165家机构，漏洞源于被泄露的客户凭据，许多凭据未启用多因素身份验证。受影响的知名企业包括Ticketmaster、Advance Auto Parts、Santander。攻击者利用窃取的凭证获取访问权限，受影响的账户未及时更新凭证。威胁组织总部位于北美，另有一名成员在土耳其。
延伸解读
泄露根源：客户凭据管理疏忽
Mandiant调查证实，此次泄露并非Snowflake企业环境被攻破，而是客户凭据被泄露所致。许多凭据未启用多因素身份验证，且部分账户在凭据被盗后未及时更新。攻击者利用从信息窃取恶意软件中获得的凭证，通过Snowflake UI或CLI工具入侵客户实例。这提醒企业，云安全责任共担模式下，客户自身凭据管理至关重要。
攻击者画像与作案手法
威胁组织UNC5537出于经济动机，总部位于北美，另有一名成员在土耳其。该组织使用窃取的客户凭据入侵Snowflake客户实例，并在网络犯罪论坛上出售受害者数据，试图敲诈受害者。其使用的信息窃取恶意软件变种包括VIDAR、RISEPRO、REDLINE等，部分感染最早可追溯至2020年。攻击者还利用名为“rapeflake”的实用程序进行访问。
受影响实例的安全缺陷
除了缺乏MFA，受影响的Snowflake实例还存在其他安全缺陷：未使用网络允许列表，允许来自任何位置的访问；部分账户在凭据被盗后长时间未更新凭证。这些缺陷为攻击者提供了可乘之机。Snowflake已发布详细的安全信息和入侵指标，并在VirusTotal上提供了可疑IP地址列表，供客户排查和防御。
Q&A
Snowflake 数据泄露事件影响了多少家机构？
约165家机构受到影响。
此次数据泄露的主要原因是什么？
主要原因是被泄露的客户凭据，许多凭据未启用多因素身份验证。
受影响的知名企业有哪些？
受影响的知名企业包括Ticketmaster、Advance Auto Parts和Santander。
攻击者是如何获取访问权限的？
攻击者利用窃取的客户凭据获取访问权限，这些凭据主要来自信息窃取恶意软件。
Mandiant对数据泄露事件的调查结果是什么？
Mandiant调查显示，未经授权访问源于客户凭据泄露，而非Snowflake企业环境的泄露。
Snowflake对此次事件采取了哪些安全措施？
Snowflake发布了详细的安全信息和入侵指标，并建议使用网络允许列表。
