Beveiligingsbedrijven: gelekte Oracle-data lijkt authentiek te zijn

De data die een hacker claimt te hebben gestolen van Oracle Cloud lijkt authentiek te zijn. Dat geven twee beveiligingsonderzoekers aan. Oracle ontkende eerder dat er een datalek is geweest. De hacker claimt zes miljoen records te hebben van 140.000 klanten.

Hacker rose87168 heeft een deel van de data gedeeld met Hudson Rock en CloudSEK. Hudson Rock-cto Alon Gal zegt te hebben gesproken met drie klanten, die bevestigen dat in ieder geval een deel van de data klopt. Zo komen de gebruikers die in het bestand worden genoemd overeen met gebruikersnamen van de bedrijven. Het gaat bovendien om gebruikersnamen die actief werden of worden gebruikt, dus niet om testgebruikersnamen. Een van de klanten geeft aan dat een deel van de gebruikers toegang heeft tot vertrouwelijke data.

CloudSEK zegt de data ook te hebben geanalyseerd en vermoedt eveneens dat het daadwerkelijk gaat om gestolen data. Zo zouden de 'volume en structuur zeer moeilijk' te fabriceren zijn. Dit beveiligingsbedrijf geeft daarnaast aan dat er persoonlijke e-mails in de dataset zitten, vermoedelijk van bedrijven die single sign-on (sso) toestaan.

De bevindingen van beide beveiligingsorganisaties komen nadat Oracle ontkende slachtoffer te zijn van een cyberaanval. "Er is geen datalek bij Oracle Cloud", zei Oracle. De hacker claimt onder meer versleutelde sso-wachtwoorden in handen te hebben met ontsleutelingsinstructies. De hacker zegt ook Java Keystore- en encryptiesleutelbestanden te hebben gestolen. Oracle heeft nog niet gereageerd op de nieuwe aantijgingen van Hudson Rock en CloudSEK.

Reacties (33)

[DennusB]

Bizar lek voor zo’n groot bedrijf, en het ontkennen maakt het nog veel erger …

[Mellow Jack]

De lek an sich vind ik niet perse zo erg. Het ontkennen vind ik idd bizar. Icm het feit dat klanten niet worden geïnformeerd

[Charlie_Root]

Ze hebben toegang tot de infra van Oracle (gehad), bewezen door een file te plaatsen. Niet zo erg?

In addition to providing researchers with a sample of the sensitive data they allegedly stole from the IT titan, rose87168 also demonstrated they were able to create a text file, archived here, on a public-facing Oracle-owned web server as proof of their intrusion and the heist. That file contained rose87168's email address, seemingly to show they did indeed have access to the login server.

https://cloudsek.com/blog...fecting-over-140k-tenants

[Reactie gewijzigd door Charlie_Root op 26 maart 2025 18:16]

[Mellow Jack]

Oh begrijp me niet verkeerd. Natuurlijk is het ernstig. Maar het kan in principe iedereen overkomen. De manier van reageren is voor mij echt doorslaggevend in het vertrouwen wat ik heb in de toekomstige relatie met een partij.

Ik had tenminste op een proactieve houding gehoopt die uitgaat van het ergste. Nu moeten klanten signalen krijgen van derde partijen.

[CH4OS]

Ik had tenminste op een proactieve houding gehoopt die uitgaat van het ergste. Nu moeten klanten signalen krijgen van derde partijen.

Het onderzoek is nog gaande en er zijn bepaalde bevindingen die eea wel in een ander daglicht zetten. Zie deze thread bijvoorbeeld: Heaget in 'Oracle ontkent datalek waarbij beveiligingsinformatie gestolen zou zijn'

[Reactie gewijzigd door CH4OS op 26 maart 2025 17:54]

[Baserk]

Maar zijn opmerking/quote wordt nu dus tegengesproken, door beide genoemde beveiligingsorganisaties.

Het is goed om wel bekende voorzorgsmaatregelen te nemen, maar er is tot dit moment niet onomstotelijk vastgesteld dat dit lek ook daadwerkelijk heeft plaatsgevonden.

Heaget in 'Oracle ontkent datalek waarbij beveiligingsinformatie gestolen zou zijn'

[Reactie gewijzigd door Baserk op 26 maart 2025 18:07]

[Charlie_Root]

Exact. En blijkbaar snapt hij ook niet dat het Oracle Access Manager, onderdeel van Oracle Fusion Middleware, betreft.

[OruBLMsFrl]

Tegelijk is mijn vraag aan Heaget daar onbeantwoord gebleven. Anyway, toen is uit voorzorg toch ook al maar de hele boel een password reset door moeten gaan plus de SSO koppeling gereset. Met dit soort zaken moet je nooit risico's lopen, het is uiteindelijk ook echt je werk en vak als beheerder, dan komt zoiets eens wat vaker voorbij.
OruBLMsFrl in 'Oracle ontkent datalek waarbij beveiligingsinformatie gestolen zou zijn'

[closefuture]

Maar het kan in principe iedereen overkomen.

Kennelijk werd er gebruik gemaakt van een kwetsbaarheid die al in 2021 bekend was. Dat neigt wel echt naar grove nalatigheid:

Cybersecurity firm Cloudsek has also found an Archive.org URL showing that the "login.us2.oraclecloud.com" server was running Oracle Fusion Middleware 11g as of February 17, 2025. Oracle has since taken this server offline after news of the alleged breach was reported.

This version of the software was impacted by a vulnerability tracked as CVE-2021-35587 that allowed unauthenticated attackers to compromise Oracle Access Manager. The threat actor claimed that this vulnerability was used in the alleged breach of Oracle's servers.

[magician2000]

Met "Er is geen datalek bij Oracle Cloud" ontkennen ze niet dat er data gelekt is. Maar niet bij Oracle Cloud. Ik ken Oracle niet, maar er zijn vast vele wegen die tot die data leiden waardoor het ergens anders gelekt is. Of ze hebben een ander beeld bij "lek" (gestolen door werknemer). Spelen met woorden en termen.

[CH4OS]

Als de klanten zelf hun instances in Oracle Cloud niet goed beveiligen, hoeft het inderdaad ook niet automatisch te betekenen dat er een datalek is bij Oracle Cloud als dienst.

Zie het als een huurder die zijn gehuurde woning niet goed afsluit en vervolgens het huis leeg gehaald is. Dan is de woningcorporatie ook niet direct verantwoordelijk wanneer blijkt dat de deur gewoon open stond.

CC: @Mellow Jack.

[DennusB]

Dit was een supply chain attack op het login scherm van de Oracle Cloud, heeft dus niets te maken met de instances van klanten.

[CH4OS]

Zie bijvoorbeeld Heaget in 'Oracle ontkent datalek waarbij beveiligingsinformatie gestolen zou zijn', dat ook eea in een ander daglicht zet.

[OruBLMsFrl]

Zie ook mijn andere reactie hierboven, maar zo'n bewering 'deze data zit ook in andere breaches', dat kan ook een geval van verkeerd geïnterpreteerde causaliteit vs correlatie zijn. Dat veel bedrijf mailadressen ook al in andere breaches zitten, wil niet zeggen dat ze niet ook in deze Oracle breach meer mogen voorkomen. Mogelijk was er meer reden voor twijfel, maar bronnen met een degelijke statistische analyse heb ik niet gezien helaas.
Zakelijke mailadressen veranderen nu eenmaal niet zo heel vaak en geeft voor personen ook overlast als dat wel nodig is. Dus ja, dan maar uit voorzorg iedereen een password change door laten maken, het is niet anders.
Het kan hoor dat een deel alsnog fake blijkt, maar ik heb geen relevante samples of analyses gezien waar je zelf op kan oordelen, en dan houd je weinig alternatieven over als je security serieus neemt. Althans ik zou in zo'n geval iedereen aanraden toch die systeembeheerders of cloud beheerders die wachtwoorden en zo een SSO koppeling te laten veranderen. Better safe than sorry, zullen toch ook snel serieuze workloads zijn bij Oracle, die staan toch wel bekend als vooral enterprise markt gericht

[Charlie_Root]

Eerst misschien even de artikelen lezen? Dat was dus in dit geval de oorzaak niet.

[CH4OS]

Dat heb ik gedaan, ook de reacties. Onderzoek is ook nog gaande en het lijkt erop dat er wel wat bevindingen zijn, waardoor er (ook hier op Tweakers) eea toch wel in een ander daglicht te zetten valt (en dat is niet waar de reacties in dit artikel op zinspelen).

[Reactie gewijzigd door CH4OS op 26 maart 2025 17:51]

[banaj]

Edit 2: Third customer confirmed the users and tenant ids match, and that they are for prod environment

Wow...

[paella]

Dan hebben ze dus een user (geen ww denk ik) en een tenant id. Dat is nog niet zo spannend. Ik vind de bewijzen mager en de lijst domeinen zeker niet overtuigend (ik ken een aantal domeinen dit absoluut geen Oracle tenant hebben).

[DennusB]

Je kan wel heel gericht gaan phishen met een tenant ID en username he

[paella]

Klopt, maar dat is wat anders dan je complete data in je Oracle ERP of wat dan ook kwijt zijn...

[banaj]

Dat jij het niet overtuigend vindt is prima, maar een mening.

Nieuw feit is: de data bevat - al dan niet gedeeltijk:

• accurate data
• van een productieomgeving
• van echte Oracle klanten

Er dus niet niets gebeurd. Het volledige beeld hebben we nog niet, maar dit lijkt meer rook te zijn...

[paella]

van 3 klanten, en niet nieuw maar alweer 2 dagen oud nieuws. En ook alleen maar users en tenant-ids. Ik zeg niet dat er niets aan de hand is, maar de bewijzen zijn niet heel groot.

[banaj]

Oracle privately confirms Cloud breach to customers.

[paella]

Yep, wij zijn ook privately geïnformeerd, maar oude eval logins, etc, niet spannend voor ons.

[Charlie_Root]

Vrij ernstig, zeker gelet hoe Oracle er mee omgaat. Bijzonder dat er slechts een paar sites (en dan nu Tweakers) over berichtten.

[Digimann]

Het is iig de tweede keer dat Tweakers over dit voorval schrijft. zie: nieuws: Oracle ontkent datalek waarbij beveiligingsinformatie gestolen zou zijn

[kodak]

Dat een bedrijf ontkent terwijl een ander een bewering doet is niet perse ernstig. Er worden namelijk wel vaker beweringen en verkeerde conclusies getrokken, zowel door bedrijven als door onderzoekers.

Aangezien iedereen kan beweren dat er iets lijkt is er dus ook voorzichtigheid nodig dat niet zomaar aan te nemen om van het ergste uit te gaan. Omgekeerd gaat dat net zo goed bij een ontkenning. Maar dat is niets nieuws.

Het ernstige lijkt mee eerder dat er kennelijk niet zomaar interesse in weet over datalekken is tot een crimineel iets gaat claimen. En dat gaat niet slechts om de bedrijven die klant bij Oracle zijn en nu geconfronteerd worden met onzekerheid.

[Soldaatje]

Heb net wat domeinen gecheckt met de tool en Microsoft.com, Google.com en Amazon.com staan in de lijst. Apart is dat.

[cheeks]

Zolang iemand het heeft uitgeprobeerd kunnen ze op de lijst staan. De Belastingdienst staat er bijvoorbeeld op, maar die gebruiken geen OCI.

[paella]

<verkeerd gereageerd>

[Reactie gewijzigd door paella op 26 maart 2025 21:28]

[El-toro]

Oracle heeft ondertussen al bedrijven ingelicht dat ze gehacked geweest zijn.
Volgens hen betreft het een Legacy server die eigenlijk in decomission modus stond en daardoor niet goed meer beveiligd was.

De data is volgens hen onboarding data of data die niet echt relevant was en de hackers zouden nooit aan de wachtwoorden kunnen... Ik heb er wat mijn twijfels over.

Ik was aanwezig bij de meeting en momenteel weigert Oracle om een statement op papier te zetten.
Waarschijnlijk proberen ze op deze manier rechtzaken te vermijden.

[Robru1]

https://www.techzine.nl/n...ens-van-klanten-gestolen/