Accenture bestätigt Sicherheitsverletzung nach Behauptung eines Hackers, 35 GB Quellcode und Azure-Schlüssel gestohlen zu haben

Accenture hat eine Sicherheitsverletzung bestätigt, nachdem ein Bedrohungsakteur namens "888" gestohlene Daten in einem Cybercrime-Forum veröffentlichte und behauptete, 35 GB Material einschließlich Quellcode, kryptografischer Schlüssel und Azure-Cloud-Zugangsdaten exfiltriert zu haben. Der Beratungsriese erkannte den Vorfall an, gab jedoch wenige Einzelheiten darüber preis, was gestohlen wurde oder ob Kundenprojekte betroffen waren.

Was gestohlen wurde

Der Bedrohungsakteur veröffentlichte einen Zugriffsnachweis auf PwnForums – einen Screenshot, der das erfolgreiche Klonen eines privaten Azure-DevOps-Repositorys zeigt, das auf einer Accenture-Domain gehostet wird. Die behauptete Beute umfasst Quellcode, RSA-Schlüssel, SSH-Schlüssel, Azure Personal Access Tokens (PAT), Azure Storage-Zugriffsschlüssel und Konfigurationsdateien, insgesamt etwa 35 GB.

Azure Personal Access Tokens sind besonders gefährlich, wenn sie nicht sofort nach der Entdeckung rotiert werden. Sie können noch lange nach der Eindämmung der ersten Sicherheitsverletzung fortlaufenden Zugriff auf Code-Repositorys und Build-Pipelines gewähren. In der Umgebung von Accenture – die Banken, Verteidigungsunternehmen und Regierungsbehörden weltweit unterstützt – stellen nicht widerrufene Token eine zweite Welle der Gefährdung dar, die vollständig davon abhängt, wie schnell das Unternehmen jede betroffene Anmeldeinformation identifiziert und rotiert hat.

Accentures Reaktion

Das Unternehmen bestätigte den Vorfall mit einer knappen Erklärung: „Wir sind uns dieser isolierten Angelegenheit bewusst und haben ihre Quelle behoben. Es gibt keine Auswirkungen auf den Betrieb und die Servicebereitstellung von Accenture.“

Accenture bestätigte oder dementierte nicht, ob Kundendaten zu den gestohlenen Dateien gehörten, sagte nicht, wie der Angreifer Zugriff auf die Azure-DevOps-Umgebung erhielt, und gab keinen Hinweis darauf, wann die Sicherheitsverletzung auftrat oder wie lange der Zugriff vor der Entdeckung bestand.

Wie glaubwürdig ist die Behauptung?

Derselbe Bedrohungsakteur, „888“, behauptete 2024, Daten von Zehntausenden Accenture-Mitarbeitern zu besitzen. Dieser Bestand enthielt nur drei Namen und E-Mail-Adressen – eine erhebliche Diskrepanz zwischen Behauptung und Realität. Dieser Vorfall ist aus diesen Gründen schwerer von der Hand zu weisen. Accenture selbst bestätigte eine Sicherheitsverletzung, anstatt die Behauptung zu bestreiten, der Azure-DevOps-Screenshot ist spezifisch und technisch kohärent, und die Kombination aus Zugriffsschlüsseln, SSH-Schlüsseln und Quellcode stellt ein realistisches und gefährliches Ergebnis eines einzelnen kompromittierten Cloud-Repositorys dar.

Die behaupteten Datentypen sind auch wichtiger als die Menge. Quellcode allein ist für Wettbewerber oder staatliche Akteure wertvoll. In Verbindung mit Azure PAT und SSH-Schlüsseln könnte derselbe Zugriff theoretisch die Live-Infrastruktur erreichen, wenn Accentures Anmeldeinformationsrotation unvollständig oder verzögert war.

Risiko der Kundenexposition

Accenture betreut einige der größten Banken, Verteidigungsbehörden und Regierungen der Welt und unterhält häufig dedizierte Bereitstellungsumgebungen für Kundenprojekte. Die Erklärung des Unternehmens deckt seinen eigenen Betrieb und seine Servicebereitstellung ab – sie macht keine Angaben dazu, ob gestohlener Quellcode oder gestohlene Anmeldeinformationen sich auf kundenspezifische Systeme oder Accentures interne Tools beziehen. Diese Unterscheidung ist genau das, was Kunden, Aufsichtsbehörden und die Sicherheitscommunity beantwortet haben möchten.

Der Vorfall wurde erstmals von BleepingComputer gemeldet.