Компания Maximus, государственный подрядчик американских властей, сообщает об утечке данных. Из-за уязвимости в решении для управления передачей файлов MOVEit Transfer хакеры смогли похитить у Maximus личные данные от 8 до 11 миллионов человек.
0-day в MOVEit Transfer
Все началось с 0-day уязвимости (CVE-2023-34362) в MOVEit Transfer, которую обнаружили в начале июня 2023 года. Проблеме оказались подвержены все версии MOVEit Transfer, и сообщалось, что атаки на них начались еще 27 мая 2023 года.
Злоумышленники использовали эту уязвимость, чтобы разместить на уязвимых серверах кастомные веб-шеллы, что позволило им получить список файлов, хранящихся на сервере, скачать файлы, а также похитить учетные данные и секреты учетных записей Azure Blob Storage, включая параметры AzureBlobStorageAccount, AzureBlobKey и AzureBlobContainer.
В итоге аналитики Microsoft связали массовые атаки с вымогательской хак-группой Clop (она же Lace Tempest, TA505, FIN11 или DEV-0950). И вскоре хакеры начали выдвигать требования, вымогая выкупы у пострадавших компаний.
На данный момент, по данным экспертов компании Emsisoft, количество компаний-жертв превышает 520. Пострадали более 116 американских школ, 23 предприятия государственного сектора, 31 международная организация и так далее. Суммарно эти утечки затронули информацию 36 млн людей.
Maximus является правительственным подрядчиком, который занимается управлением и администрированием программ, спонсируемых правительством США, включая федеральные и локальные программы здравоохранения, а также обслуживание студенческих займов. В компании работает более 34 000 человек, и она представлена в США, Канаде, Австралии и Великобритании.
Согласно документам, поданным в Комиссию по ценным бумагам и биржам США (SEC), с помощью 0-day уязвимости в MOVEit Transfer (CVE-2023-34362) у компании были похищены данные. Хотя расследование показало, что хакеры не продвинулись дальше среды MOVEit, которая была сразу изолирована от остальной части корпоративной сети, этого оказалось достаточно, чтобы скомпрометировать информацию большого количества людей, которых теперь уведомляют о произошедшем.
«На основании проведенного анализа пострадавших файлов, компания Maximus считает, что они содержат персональные данные, включая номера социального страхования, конфеденциальную медицинскую информацию и/или другую личную информацию, по меньшей мере 8-11 млн человек, которым компания планирует направить уведомление об инциденте», — говорится в заявлении Maximus.
На сайте хак-группы Clop утверждается, что хакеры похитили у Maximus 169 ГБ данных, однако злоумышленники пока не «сливали» полученную информацию, так как процесс вымогательства еще продолжается.
