Oracle ปฏิเสธทันที! หลังกลุ่มแฮ็กเกอร์ประกาศขายข้อมูล 6 ล้านรายการของพวกเขา

Oracle ออกมาปฏิเสธข้อกล่าวหาหลังจากมีแฮ็กเกอร์อ้างว่าสามารถขโมยข้อมูล 6 ล้านรายการจากเซิร์ฟเวอร์ล็อกอินแบบรวมศูนย์ (SSO – Single Sign-On) ของ Oracle Cloud และกำลังนำไปขายในตลาดมืด

“ไม่มีการละเมิด Oracle Cloud ข้อมูลที่ถูกเผยแพร่ไม่ใช่ข้อมูลจาก Oracle Cloud และไม่มีลูกค้าของ Oracle Cloud รายใดได้รับผลกระทบหรือสูญเสียข้อมูล” บริษัท Oracle ให้ข้อมูลกับ BleepingComputer

คำชี้แจงนี้มีขึ้นหลังจากแฮ็กเกอร์ที่ใช้ชื่อ rose87168 ได้เผยแพร่ไฟล์ข้อความหลายไฟล์ ซึ่งอ้างว่าเป็นตัวอย่างฐานข้อมูล ข้อมูล LDAP และรายชื่อบริษัทที่ถูกขโมยมาจากแพลตฟอร์ม SSO ของ Oracle Cloud

หลักฐานอ้างว่ามีการเข้าถึงเซิร์ฟเวอร์ของ Oracle Cloud

เพื่อเป็นการพิสูจน์ว่าพวกเขาสามารถเข้าถึงเซิร์ฟเวอร์ของ Oracle Cloud ได้ กลุ่มแฮ็กเกอร์ได้แชร์ลิงก์จาก Internet Archive ซึ่งบ่งชี้ว่าพวกเขาสามารถอัปโหลดไฟล์ .txt ที่มีที่อยู่อีเมล ProtonMail ของตนไปยังเซิร์ฟเวอร์ login.us2.oraclecloud.com ได้

ข้อมูลที่อ้างว่าถูกขโมย และข้อเสนอขายข้อมูล

rose87168 กำลังขายข้อมูลที่อ้างว่าถูกขโมยมาจากระบบ SSO ของ Oracle Cloud โดยไม่ได้เปิดเผยราคา หรือเสนอให้แลกเปลี่ยนกับช่องโหว่ Zero-day ในฟอรัมแฮ็กเกอร์ BreachForums

พวกเขาอ้างว่าข้อมูลที่ถูกขโมยนั้นประกอบด้วย

– รหัสผ่าน SSO ที่ถูกเข้ารหัส
– ไฟล์ Java Keystore (JKS)
– ไฟล์คีย์
– คีย์ JPS ของ Enterprise Manager

“รหัสผ่าน SSO ถูกเข้ารหัส แต่สามารถถอดรหัสได้ด้วยไฟล์ที่มีอยู่ นอกจากนี้ รหัสผ่าน LDAP ที่ถูกแฮชก็สามารถถอดรหัสได้” rose87168 กล่าวว่า “ฉันจะเผยแพร่รายชื่อโดเมนของทุกบริษัทที่อยู่ในการรั่วไหลครั้งนี้ โดยบริษัทสามารถจ่ายเงินเพื่อให้ลบข้อมูลพนักงานของตนออกจากรายการก่อนที่จะถูกขาย” นอกจากนี้ พวกเขายังเสนอที่จะแชร์ข้อมูลบางส่วนให้กับผู้ที่สามารถช่วยถอดรหัสรหัสผ่าน SSO หรือเจาะรหัสผ่าน LDAP ได้

แฮ็กเกอร์ rose87168 อ้างว่าพวกเขาเข้าถึงเซิร์ฟเวอร์ของ Oracle Cloud ได้ประมาณ 40 วัน และได้ส่งอีเมลถึงบริษัท หลังจากขโมยข้อมูลจากเซิร์ฟเวอร์ในภูมิภาค US2 และ EM2

โดยในอีเมลดังกล่าว rose87168 กล่าวว่า พวกเขาเรียกร้องให้ Oracle จ่ายเงิน 100,000 XMR (Monero) เพื่อให้ข้อมูลเกี่ยวกับวิธีที่พวกเขาแฮ็กระบบ แต่บริษัทปฏิเสธที่จะจ่ายเงินหลังจากขอให้ส่ง “ข้อมูลทั้งหมดที่จำเป็นสำหรับการแก้ไขและออกแพตช์”

rose87168 อ้างว่าเซิร์ฟเวอร์ของ Oracle Cloud ใช้ซอฟต์แวร์เวอร์ชันที่มีช่องโหว่ซึ่งถูกระบุในฐานข้อมูล CVE (Common Vulnerabilities and Exposures) แต่ยังไม่มี PoC (Proof of Concept) หรือโค้ดโจมตีที่เปิดเผยต่อสาธารณะ

รายละเอียด BPC