A Clorox cobra US$ 380 milhões porque o help desk nunca perguntou quem estava ligando.
Segundo o processo, os atacantes ligaram várias vezes ao suporte terceirizado se passando por funcionários e pediram reset de senha e de MFA. O atendente liberou sem verificar a identidade uma única vez.
Help deskEm 11 de agosto de 2023, atacantes ligaram ao help desk terceirizado que a Cognizant operava para a Clorox. Se passaram por funcionários e pediram redefinição de senha e de autenticação multifator. Conseguiram, segundo a ação judicial, o acesso de dois funcionários, um deles da própria área de segurança.
A frase mais citada do processo é também a mais simples: "em nenhum momento, durante qualquer das ligações, o atendente verificou que quem ligava era de fato o Funcionário 1".
Com acesso privilegiado, o grupo paralisou a produção da empresa. A Clorox pede US$ 380 milhões em danos totais, dos quais US$ 49 milhões em custos diretos de remediação, citando interrupção de negócio, falta de produto nas prateleiras e dano reputacional.
O reset de MFA por telefone é o procedimento mais barato de atacar e o mais caro de perder. Ele cabe num roteiro de seis linhas e não deixa rastro em nenhuma ferramenta de endpoint. É exatamente o tipo de processo que precisa ser testado com ligação real, em escopo autorizado, antes que alguém teste por conta própria.
