Elke keer dat een medewerker een app toegang geeft tot Google Workspace, Microsoft 365 of Salesforce via een OAuth-scherm, ontstaat een permanente vertrouwensrelatie tussen twee systemen. Die koppeling overleeft vaak het wachtwoord van de gebruiker: een account uitschakelen schorst alleen de koppelingen die via dat platform zijn ontstaan, niet de rechten die een losse app al eerder kreeg.
Hoe reëel dat risico is, liet de Klue-breach zien. Aanvallers kwamen bij de sales-intelligencedienst binnen via een gecompromitteerd, verouderd inloggegeven van een koppelservice en gebruikten die toegang om OAuth-tokens voor Salesforce te bemachtigen. Met vers aangemaakte Salesforce-API-tokens kregen ze vervolgens rechtstreeks toegang tot de Salesforce-omgevingen van Klue-klanten, onder meer bij LastPass, Huntress, Recorded Future, Tanium en Jamf. Salesforce zelf werd niet gehackt; klantgegevens in de CRM-omgevingen van de getroffen bedrijven lagen wel open.
Volgens beveiligingsbedrijf Nudge Security heeft een gemiddelde medewerker 88 actieve OAuth-koppelingen, waarvan 31 met toegang tot data. Bij 1.000 medewerkers staan er zo al snel 88.000 toegangspaden open, waarvan 31.000 rechtstreeks naar gevoelige bedrijfsgegevens leiden. Gartner voorspelt dat in 2027 de helft van alle SaaS-datalekken wordt veroorzaakt door OAuth-tokens met te ruime rechten. Een handmatige beoordeling van één koppeling kost al snel 45 minuten, lastig op te schalen naar honderden koppelingen per organisatie.
Behandel OAuth-koppelingen daarom als een eigen beveiligingsproces, met een volledige inventaris die ook koppelingen van vóór de eigen tooling meeneemt, inclusief API-sleutels en service-accounts. Beoordeel elke koppeling op scopes, leverancier en daadwerkelijk gebruik, en geef die een vast oordeel: laten staan, verantwoording vragen aan de aanvrager, of intrekken. Voor Nederlandse organisaties is de praktische les dat een periodieke OAuth-audit minstens zo belangrijk is als een wachtwoordbeleid: loop elk kwartaal de gekoppelde apps in Google Workspace en Microsoft 365 langs, trek ongebruikte koppelingen in, en maak dat een vast onderdeel van het offboardingproces.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Begin klein: vraag in Google Workspace of Microsoft 365 het overzicht op van apps met toegang tot bedrijfsdata en loop het samen met IT langs. Verrassend vaak staan daar koppelingen bij die niemand meer herkent, precies het scenario waar de Klue-breach op neerkwam.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.