חדשות

דו”ח של VARONIS

סיכון לדליפת מידע מיומני אאוטלוק וגוגל, עקב באג בהגדרות משתמש אורח של Salesforce

דו”ח של Varonis מזהיר מפני סיכון לדליפת מידע מיומני אאוטלוק וגוגל עקב באג בהגדרות משתמש אורח של Salesforce.

שילוב של תקלה והגדרות אבטחה לקויות במערכת Salseforce אפשרה זליגת מידע פנימי של מספר רב של חברות וזאת ללא צורך בנגישות מוקדמת מצד התוקף. דו”ח סיכונים חדש שפרסמה חברת אבטחת המידע והביג דאטה Varonis מזהיר ארגונים המשתמשים ב-Salesforce Communities וב-Einstein Activity Capture, מפני חשש מחשיפה לא מודעת של נתונים המצויים ביומני  Outlook ו-Google של מנהל המערכת.  

הסיבה היא באג שגילה נתאי בכרך, מצוות המחקר של Varonis, ונתן לו את השם “חור התולעת של איינשטיין” (Einstein’s Wormhole), על שם הכלי שגרם לפירצת אבטחה – Einstein Activity Capture.

“יומן הפגישות יכול להכיל תוכן רגיש ביותר, כגון שמות משתתפים, כתובות מייל, כתובות אתרים, סיסמאות לפגישות, סדר יום, קבצים מצורפים ותשובות מייל שנשלחות למארגן. הבעיה דווחה לחברת Salesforce שזיהתה מיד את חומרת הבעיה וטיפלה בה במקצועיות ובמהירות. עם זאת, במקרה בו הארגון יצר את קהילת ה-Salesforce שלו לפני קיץ 2021 – עליו לתקן את אירועי היומן החשופים”, נכתב בדו”ח של Varonis, שפורסם בבלוג החברה

להלן הצעדים שיש לנקוט באופן מידי על מנת להתגונן מהשלכות בעיית אבטחה זו: 

1. לשנות את כתובת המייל של המשתמש האורח לכתובת דמה (לדוגמה, test@example.com). 

2. להסיר אירועי יומן רגישים שאיינשטיין (Einstein Activity Capture) שייך למשתמש האורח. 

Einstein Activity Capture הוא כלי המאפשר לסנכרן מיילים ואירועי יומן בין חשבונות Microsoft Exchange או Google לבין Salesforce (פלטפורמת ענן לארגונים המספקת שירותי תוכנה לניהול קשרי לקוחות). מטרת Einstein Activity Capture היא להגביר את פרודוקטיביות צוות המכירות על ידי איחוד הודעות מייל ופגישות רלוונטיות של לקוחות אל תוך מערכת מרכזית אחת: Salesforce. 

כשמשתמש יוצר פגישה, ינסה איינשטיין למצוא ישויות Salesforce אחרות (משתמשים, לידים, אנשי קשר) שיש לסנכרן עמם את האירוע. כש-Einstein Activity Capture מסנכרן את לוחות השנה של המשתמש, מתרחש התהליך הבא: 

• Salesforce מתחברת ליומן, בין אם זה Outlook או Google Calendar, ומושכת ממנו את האירועים. 

• Salesforce מוסיפה את האירועים ליומן  של המשתמש. 

• Salesforce בוחנת את המשתתפים באירוע ומחפשת משתמשים, לידים ואנשי קשר עם הודעות מייל תואמות. 

• אם נמצאו רשומות עם כתובות מייל תואמות –  האירועים יתווספו גם ליומני Salesforce שלהם. 

Timeline

Description automatically generated

קהילות Salesforce 

לכאורה ללא קשר לאיינשטיין, אתרי קהילת Salesforce מאפשרת ללקוחות ולשותפי הארגון להתממשק לאירועים למרות שהם מגיעים מחוץ לארגון. הם יכולים לפתוח קריאות תמיכה, לשאול שאלות, לנהל מנויים ועוד. כשיוצרים אתר קהילה – הוא יוצר משתמש אורח מיוחד שמייצג משתמשים שאינם רשומים במערכת. ניתן לבחור אילו חלקים מהקהילה ייחשפו לאורחים חיצוניים אלו ללא צורך בהזדהות Login מצידם. 

חור התולעת של איינשטיין 

עד לעדכון שיצא בקיץ 2021 משתמשים אורחים נוצרו עם כתובת המייל של מנהל   Salesforce בארגון. החברה תיקנה במהירות את הבאג ודיווחה עליו ללקוחותיה, כך שכל אתרי הקהילה החדשים לא ישייכו את המשתמש האורח לכתובת מייל אמיתית של משתמש. לארגונים שיצרו את קהילת ה-Salesforce שלהם לפני קיץ 2021 מומלץ לשנות את כתובת המייל של המשתמש האורח עבור כל אתרי הקהילה שלהם לכתובת דמה שאינה משויכת ליומן אירועים של משתמש אמיתי. 

הנתונים, המידע, הדעות והתחזיות המתפרסמות באתר זה מסופקים כשרות לגולשים. אין לראות בהם המלצה או תחליף לשיקול דעתו העצמאי של הקורא, או הצעה או שיווק השקעות או ייעוץ השקעות – בין באופן כללי ובין בהתחשב בנתונים ובצרכים המיוחדים של כל קורא – לרכישה ו/או ביצוע השקעות ו/או פעולות או עסקאות כלשהן. במידע עלולות ליפול טעויות ועשויים לחול בו שינויי שוק ושינויים אחרים. כמו כן עלולות להתגלות סטיות בין התחזיות המובאות בסקירה זו לתוצאות בפועל. לכותב עשוי להיות עניין אישי במאמר זה, לרבות החזקה ו/או ביצוע עסקה עבור עצמו ו/או עבור אחרים בניירות ערך ו/או במוצרים פיננסיים אחרים הנזכרים במסמך זה. הכותב עשוי להימצא בניגוד עניינים. בלומר אינה מתחייבת להודיע לקוראים בדרך כלשהי על שינויים כאמור, מראש או בדיעבד. בלומר לא תהיה אחראית בכל צורה שהיא לנזק או הפסד שיגרמו משימוש במאמר/ראיון זה, אם יגרמו, ואינה מתחייבת כי שימוש במידע זה עשוי ליצור רווחים בידי המשתמש.

כתבות דומות

קריאה נוספת
Close
Back to top button
דילוג לתוכן