在 1 月份系统遭到破坏后，Okta 发布了一份取证报告，发现威胁组织 Lapsus$ 通过第三方公司仅访问了两个活跃客户。该公司表示，Lapsus$ 在 1 月 21 日“主动控制”了属于支持公司 Sitel 的一名工程师的工作站 25 分钟。
Okta 首席安全官 David Bradbury 写道：“威胁参与者主动控制了一个由 Sitel 支持工程师使用的工作站，可以访问 Okta 资源。” “在这个有限的时间窗口内，威胁参与者访问了 SuperUser 应用程序中的两个活跃客户租户，并在某些其他应用程序（如 Slack 和 Jira）中查看了有限的附加信息，这些信息不能用于在 Okta 客户租户中执行操作。”
虽然只访问了两个客户，但可能有更多用户受到影响，因为 Otka 拥有 15,000 名客户，但个人用户超过 1 亿。 Okta 说，尽管有访问权限，但 Lapsus$ 无法进行任何 MFA 或密码重置、配置更改或客户支持模拟。 “威胁参与者无法直接对任何 Okta 帐户进行身份验证。”
Okta 花了两个月的时间才将 Lapsus$ 违规通知客户，并最终发表声明称其处理事情的方式“犯了一个错误”。在上个月的一篇博客文章中，它透露 2.5% 的客户可能在 5 天的时间内查看了他们的数据或对其采取了行动。
现在看来，违规行为的范围要有限得多，但 Okta 表示，它从这种情况中吸取了教训。它终止了与相关承包商的关系，并承诺加强对其他人的审计程序。它还将通过访问客户支持工具直接管理第三方的设备，以便更“有效”地响应事件。最后，它正在采用新系统来“帮助我们更快地与客户沟通”安全问题。