Datacatalogus Alation bevestigt cyberaanval op eigen systemen

Alation, de datacatalogus van meer dan 500 grote bedrijven, bevestigt tegenover TechCrunch een cyberaanval op een van zijn eigen systemen, twee dagen nadat klanten een storing merkten.

Voor een organisatie die zo'n governancelaag draait, is dat een ander bericht dan een gewoon leverancierslek. Een datacatalogus bewaart zelden de data zelf, maar wel de kaart ernaartoe: welke schema's en tabellen bestaan, welke kolommen als gevoelig staan aangemerkt, wie wat opvraagt en welke systemen eraan hangen. De vraag is dus niet alleen of er gegevens zijn gestolen, maar welke metadata, koppelingen en toegangsrechten in dat ene geraakte systeem zaten. Zolang Alation daar niets over zegt, kun je die vraag alleen zelf beantwoorden.

Wat Alation wel en niet zegt

Het bedrijf spreekt van een geïsoleerd incident waarbij sprake was van ongeautoriseerde activiteit in een van zijn systemen, zegt dat er een grondig onderzoek loopt en dat aanvullende informatie volgt wanneer dat gepast is. Daar houdt het op. Alation noemt de aard van de aanval niet, geeft geen oorzaak en geen aantal getroffen klanten, en zegt evenmin of klanten zijn ingelicht, wat zij zouden moeten doen, of dat er data is buitgemaakt. De verklaring kwam van een externe woordvoerder, Stephen Russell.

De storing die eraan voorafging is wel gedocumenteerd. Op dinsdag 18 augustus meldde Alation om 16.35 uur UTC een probleem met verminderde beschikbaarheid voor een deel van de klanten in de regio Americas. Om 16.44 uur stond er een fix, om 17.31 uur werd het incident als opgelost afgemeld. Of die storing en de aanval hetzelfde incident zijn, heeft het bedrijf niet gezegd.

Een catalogus is een ander soort doelwit

Alation maakt software waarmee bedrijven hun bestanden en data doorzoeken in gewone taal, en breidde de afgelopen jaren uit naar AI, zodat klanten grote hoeveelheden rommelige data bruikbaar kunnen maken. Het bedrijf zegt meer dan 500 organisaties wereldwijd te bedienen, waaronder ongeveer de helft van de Fortune 1000. Een groot deel van zijn systemen draait op Amazon Web Services.

Wat er in zo'n catalogus terechtkomt, beschrijft Alation zelf op zijn productpagina: technische metadata zoals schema's, tabellen en kolommen, zakelijke metadata zoals definities, KPI's en begrippenlijsten, operationele metadata over gebruik en prestaties, en sociale metadata zoals beoordelingen en opmerkingen van medewerkers. Daarbovenop legt de tool vast hoe data van bron naar rapport loopt, wie het onderweg heeft aangepast en hoe het is gebruikt. De catalogus koppelt aan meer dan 120 databronnen.

Die opsomming is precies waarom dit meer is dan uitval van een dienst. Wie het overzicht in handen heeft, hoeft niet meer te zoeken. Datzelfde mechanisme lag begin augustus onder het lek bij laptopmaker Framework. Analysetool Metabase bezat zelf nauwelijks data maar bewaarde wel de inloggegevens van elke gekoppelde database, en via een zeroday kwamen aanvallers daar bij de klantendatabase erachter.

Wanneer de meldklok gaat lopen

Het meeste in een catalogus is geen persoonsgegeven. Een schema, een kolomnaam of een definitie zegt niets over een individu. De gebruikerskant wel: accounts van medewerkers, hun opmerkingen en beoordelingen, en opvraaggedrag dat aan een naam hangt. Raakt dat deel, dan is er sprake van een datalek in de zin van de AVG. En dan is het jouw organisatie die het meldt, niet je leverancier. Bij een gehackte IT-leverancier blijft de verwerkingsverantwoordelijke degene die binnen 72 uur na kennisname meldt bij de Autoriteit Persoonsgegevens en de betrokkenen informeert. Hoe snel je die afweging kunt maken, hangt af van je verwerkersregister en van wat de verwerkersovereenkomst met Alation afspreekt over informeren bij een incident.

Vier dingen zijn nu al uit te zoeken zonder dat Alation iets loslaat: welke bronsystemen aan de catalogus hangen, met welke serviceaccounts die koppelingen draaien, welke rechten die accounts in de bronsystemen hebben, en of jouw omgeving in de geraakte regio staat. Wie dat overzicht klaar heeft liggen, hoeft straks niet te beginnen met zoeken als er wel details komen.

Waar dit naartoe wijst

TechCrunch plaatst het incident in een reeks aanvallen op bedrijven die grote hoeveelheden gevoelige of vertrouwelijke informatie voor hun zakelijke klanten bewaren. Hoe lang zo'n keten kan naijlen, laat de inbraak bij logistiek concern Ceva Logistics zien: drie weken na de eerste meldingen stuurde bol nog steeds nieuwe waarschuwingen naar een grotere groep klanten, omdat de omvang bleef groeien.

Een catalogus zit in die keten nog een laag hoger. Hij bezit de gegevens niet, hij weet waar ze staan. Zolang de leverancier zwijgt over wat er precies geraakt is, verschuift het reconstructiewerk naar de klant, die zelf moet uitzoeken welke koppelingen, rechten en metadata via dat ene systeem liepen.