Компания Clorox инициировала судебный процесс против IT-консалтинговой компании Cognizant, обвинив её в халатности, приведшей к крупной кибератаке, нарушившей бизнес-процессы и нанесящей ущерб на сотни миллионов долларов. Согласно иску, поданному в суд Калифорнии, в августе 2023 года злоумышленник смог получить доступ к внутренней сети Clorox, выдавая себя за сотрудника компании. Позвонив в службу технической поддержки, управляемую Cognizant, он запросил сброс пароля и отключение многофакторной аутентификации (MFA) в системах Okta и Microsoft. Стоит отметить, что служба поддержки не произвела проверку личности. Получив доступ, злоумышленник повторил действия от имени более привилегированного пользователя — сотрудника отдела информационной безопасности Clorox. И снова служба поддержки Cognizant выполнила все запросы без надлежащей верификации. По данным Clorox, это дало хакеру возможность внедрить вредоносное ПО и вывести данные, что в конечном итоге привело к остановке производственных линий и сбоям в логистике. Clorox указывает, что ключевая ошибка заключалась в невыполнении базовых процедур идентификации, прописанных в соглашении с Cognizant. В частности, техническая поддержка должна была применять внутреннюю систему проверки личности MyID или проводить дополнительные проверки с уведомлением менеджера сотрудника. Вместо этого представители Cognizant просто передали пароли и отключили защиту. Clorox обвиняет Cognizant в систематическом нарушении договорных обязательств и недостаточной подготовке персонала. Компания считает, что инцидент произошёл из-за «грубого пренебрежения процедурами», несмотря на регулярные совещания и заверения Cognizant о соблюдении всех регламентов. В ответ на обвинения PR-представитель Cognizant заявил, что компания «оказывала лишь ограниченные услуги службы поддержки» и не несла ответственности за общую кибербезопасность Clorox. По словам представителя, попытка Clorox возложить ответственность за собственные недостатки на стороннего подрядчика является попыткой отвлечь внимание от системных проблем в их внутренней защите. Clorox требует компенсации убытков, понесённых в результате инцидента, включая простой производств, нарушение поставок и репутационные потери. Общий ущерб оценивается примерно в $380 млн.
Фото: hi-tech.mail.ru