CENTRO DE SEGURIDAD DE SNOWFLAKE

Con motivo de nuestra investigación actual sobre la campaña de amenazas focalizadas a algunas cuentas de clientes de Snowflake, queremos informar de que nuestros últimos hallazgos cuentan con el respaldo de las empresas expertas en ciberseguridad CrowdStrike y Mandiant y siguen la misma línea que lo anunciado en la anterior publicación del 2 de junio.

Seguimos trabajando estrechamente con nuestros clientes a medida que refuerzan sus medidas de seguridad para reducir las ciberamenazas a sus empresas. También estamos desarrollando un plan para que nuestros clientes implementen controles de seguridad avanzados como la MFA o políticas de red, especialmente aquellas cuentas de cliente de Snowflake con privilegios. En paralelo, estamos colaborando estrechamente con nuestros clientes para ayudarles a habilitar la MFA y otros controles de seguridad que tienen un papel esencial en la protección de sus empresas.

Declaración conjunta sobre hallazgos iniciales en la investigación de ciberseguridad de Snowflake

Snowflake y los expertos de ciberseguridad externos CrowdStrike y Mandiant publican una declaración conjunta en relación con nuestra investigación actual sobre una campaña de amenazas focalizadas a algunas cuentas de clientes de Snowflake.

Los primeros hallazgos clave que hemos identificado hasta ahora son los siguientes:
 

• No hay pruebas que indiquen que esta actividad se produjera a causa de una vulnerabilidad, un error de configuración o una brecha de la plataforma de Snowflake.
• No hay pruebas que indiquen que esta actividad se produjera a causa de credenciales vulneradas por parte de personal actual o antiguo de Snowflake.
• Parece tratarse de una campaña focalizada a usuarios con un solo factor de autenticación.
• Como parte de esta campaña, los autores de las amenazas han aprovechado credenciales previamente compradas u obtenidas a través de malware de robo de información. 
• Hay pruebas que indican que un autor de las amenazas obtuvo las credenciales personales de un antiguo empleado de Snowflake y accedió a sus cuentas de demostración. Sin embargo, no contenían datos confidenciales. Las cuentas de demostración no están conectadas con los sistemas corporativos o de producción de Snowflake. El acceso a la cuenta fue posible porque la cuenta de demostración no estaba protegida por MFA ni Okta, a diferencia de los sistemas corporativos y de producción de Snowflake.

A lo largo de la investigación, Snowflake ha informado lo más pronto posible al limitado número de clientes de Snowflake que podrían haberse visto afectados. Mandiant también se ha puesto en contacto con organizaciones potencialmente afectadas.

Recomendamos a las empresas que tomen las siguientes medidas inmediatamente:

1. Implantar la MFA en todas las cuentas
2. Configurar reglas de políticas de red para permitir únicamente usuarios autorizados o tráfico desde ubicaciones de confianza (VPN, Cloud Workload NAT, etc.)
3. Para las organizaciones afectadas: restablecer y rotar las credenciales de Snowflake

Además, recomendamos consultar las directrices de investigación y refuerzo de Snowflake, donde sugerimos acciones para ayudar a investigar posibles amenazas en las cuentas de clientes Snowflake. La investigación sigue en marcha. También estamos trabajando con las autoridades policiales y otros organismos gubernamentales.

Estamos al corriente de los informes recientes relacionados con un posible riesgo del entorno de producción de Snowflake. Por tanto, queremos responder directamente a algunas afirmaciones erróneas que se han hecho:
 

• No hay pruebas que indiquen que esta actividad se produjera a causa de una vulnerabilidad, un error de configuración o una brecha del producto de Snowflake.
• Snowflake no cree haber sido el origen de ninguna filtración de credenciales de clientes.
• No hay ninguna “interfaz de programación de aplicaciones (API) maestra” o ruta mediante la cual se pueda acceder a credenciales de clientes y filtrarlas desde el entorno de producción de Snowflake.
• Snowflake es un producto en la nube y cualquier persona puede registrarse para obtener una cuenta en cualquier momento. Si el autor de la amenaza obtiene las credenciales del cliente, puede acceder a la cuenta. El personal de Snowflake no es una excepción. Cada empleado puede crear su propia cuenta de “cliente” de Snowflake con sus credenciales personales.
• Hay pruebas que indican que, al igual que en las cuentas de clientes afectadas, el autor de las amenazas obtuvo las credenciales personales de un antiguo empleado de Snowflake y accedió a una cuenta de demostración. Sin embargo, no contenían datos confidenciales. Las cuentas de demostración no están conectadas con los sistemas corporativos o de producción de Snowflake. El acceso a la cuenta fue posible porque la cuenta de demostración no estaba protegida por MFA ni Okta, a diferencia de los sistemas corporativos y de producción de Snowflake.