Historien om løsesummen efter GMO Internet-cloudbruddet har et overskriftsnummer: 50 mio. dollars. Ifølge rapportering fra TokenPost har virksomhedens CEO oplyst, at angriberne krævede dette beløb efter et brud på virksomhedens cloudinfrastruktur, og at virksomheden siger, at den ikke har betalt noget. Op til 26.739 servere kan være berørt.
De offentlige detaljer er indtil videre sparsomme. Sagen er dog en nyttig påmindelse om, hvor meget kunder hos hosting- og cloududbydere er afhængige af sikkerhed, de ikke kan se, og hvad de alligevel kan gøre for at beskytte sig selv.
Hvad GMO Internet siger er sket
Kerneland påstandene fra rapporteringen er korte. GMO Internets CEO har sagt, at virksomheden modtog et krav om løsesum på 50 mio. dollars efter et brud på virksomhedens cloudmiljø. Virksomheden siger, at den ikke har betalt. Omfanget af den mulige eksponering er op til 26.739 servere.
Ordvalget er vigtigt. "Op til" og "kan være" er forsigtige formuleringer. De antyder, at virksomheden beskriver det maksimale potentielle omfang snarere end at bekræfte, at hver eneste af disse servere blev tilgået, eller at der blev taget data fra hver af dem. Kildematerialet, vi har, siger ikke, hvordan angriberne kom ind, hvilken type data der var tale om, eller om nogen information er blevet offentliggjort eller solgt.
Indtil GMO Internet eller uafhængige efterforskere frigiver mere, forbliver disse spørgsmål åbne. Vi vil ikke gætte på dem her.
Hvem kan være berørt af servereksponeringen
Tallet 26.739 servere er en optælling af maskiner, ikke personer. En enkelt server hos en hostingudbyder kan indeholde data for én kunde eller for mange, afhængigt af hvordan tjenesten er opsat. Det betyder, at antallet af berørte personer eller virksomheder kan være mindre eller større, end serverantallet antyder.
I praksis er det følgende personer, der har mest grund til at være opmærksomme:
- Kunder, der driver websites, applikationer eller databaser på GMO Internets cloudtjenester
- Virksomheder, hvis leverandører hoster data hos virksomheden
- Slutbrugere af websites og tjenester, der ligger på infrastruktur, som kan være omfattet
Den sidste gruppe er den sværeste at identificere. Mange mennesker bruger tjenester, der hostes af en udbyder, uden at vide, hvem udbyderen er. Hvis en virksomhed, du har med at gøre, er berørt, kan underretningen komme fra den virksomhed snarere end fra hosten.
Hvad et brud hos en hostingudbyder betyder for kundedata
Når du opbevarer data hos en cloud- eller hostingudbyder, betror du dig til flere lag af sikkerhed, som du ikke kontrollerer: udbyderens netværk, dens administrative adgang, dens personalepraksis og dens patching. En svaghed i ethvert af disse kan eksponere mange kunder på én gang, hvilket er grunden til, at angribere målretter sig mod udbydere snarere end enkelte websites.
Et krav om løsesum tilføjer en anden dimension. Afpresning af denne type afhænger typisk af en trussel, såsom at låse systemer eller frigive stjålne data. Rapporteringen specificerer ikke, hvilken der blev truet med her, så det er ikke klart, om kundedata er i fare for at blive offentliggjort, eller om presset var rettet mod driften.
Virksomhedens erklærede afvisning af at betale er bemærkelsesværdig. Sikkerhedseksperter råder ofte til ikke at betale, da betaling ikke garanterer, at data slettes, eller at adgang genoprettes, og det kan tilskynde til yderligere angreb. Men en afvisning sletter ikke risikoen for kunderne. Hvis data blev kopieret, kan de stadig være i angribernes hænder, uanset hvad virksomheden beslutter.
Dette er den centrale pointe for brugerne: en udbyders beslutning om en løsesum er adskilt fra spørgsmålet om, hvorvidt dine data er sikre. Du kan kun kontrollere det andet ved at begrænse, hvad et brud kunne afsløre i første omgang.
Skridt brugere kan tage nu for at begrænse eksponering
Du behøver ikke vente på en fuld hændelsesrapport for at stramme din egen sikkerhed. Rimelige skridt omfatter:
- Skift adgangskoder. Hvis du bruger en tjeneste, der kan køre på GMO Internets infrastruktur, skal du skifte din adgangskode der og overalt, hvor du har genbrugt den. Brug en unik adgangskode til hver konto, ideelt set fra en adgangskodeadministrator.
- Aktivér to-faktor-godkendelse. Selv hvis en adgangskode lækker, gør en anden faktor det meget sværere for nogen at logge ind. Autentificeringsapps eller hardwarenøgler er generelt stærkere end tekstbeskeder.
- Hold øje med brudunderretninger. Tjek e-mails fra dine udbydere og de tjenester, du bruger, og læs dem omhyggeligt. Gå direkte til virksomhedens officielle website i stedet for at klikke på links i uventede meddelelser, da nyheder om brud ofte udløser phishing.
- Kryptér følsomme data, før du uploader dem. Hvis filer er krypteret på din enhed med nøgler, som kun du har, eksponerer et brud hos udbyderen rodede data snarere end læsbare dokumenter. Dette er den mest holdbare beskyttelse mod en host, du ikke kan inspicere.
- Gennemgå, hvad du opbevarer. Slet data, du ikke længere har brug for, fra tredjepartsservere. Information, der ikke er der, kan ikke stjæles.
- Overvåg dine konti. Hold øje med kontoudtog og loginadvarsler for usædvanlig aktivitet i de kommende uger.
Hvad dette betyder for dig
Hvis du er direkte kunde hos GMO Internet, skal du holde øje med officiel kommunikation fra virksomheden og følge dens vejledning. Hvis du er virksomhedsejer, skal du tjekke, hvilke af dine systemer og leverandører der er afhængige af den berørte infrastruktur, og spørge dem direkte, om de er omfattet.
Hvis du er en almindelig bruger uden nogen idé om, hvorvidt du er involveret, er den sikreste antagelse simpelthen at behandle dette som en anledning til at forbedre dine vaner. En VPN løser ikke et brud hos udbyderen, fordi dataene blev eksponeret på serveren, ikke under transmissionen. Stærke, unikke adgangskoder, to-faktor-godkendelse og kryptering af det, du opbevarer, er det, der hjælper her.
Vigtige pointer
Afsløringen om løsesummen efter GMO Internet-cloudbruddet efterlader mange spørgsmål ubesvarede: hvordan angriberne kom ind, hvad der blev taget, og hvor mange kunder der reelt er berørt. Det, der er på optagelse, er et krav på 50 mio. dollars, en erklæret afvisning af at betale og et potentielt fodaftryk på op til 26.739 servere.
Mens fakta kommer frem, skal du handle på det, du kan kontrollere. Skift dine adgangskoder, aktivér to-faktor-godkendelse, læs brudunderretninger fra dine udbydere, når de ankommer, og kryptér følsomme filer, før de når andres servere. Disse skridt begrænser skaden fra denne hændelse og fra den næste.
