Hackere begyndte at sondere cloud-computingvirksomheden Railway en søndag aften i midten af oktober og tilmeldte sig tusindvis af konti. Inden for få dage slap de afsted med aktiver til en værdi af mere end 1,1 mio. dollars. Ifølge rapportering fra The Currency kom størstedelen af byttet ikke fra kryptovaluta, og operationen handlede ikke om afpresning eller ransomware. Sagen er et klart eksempel på, hvorfor cloud-kontosikkerhed og tyveri af AI-regnekraft fortjener opmærksomhed fra alle, der har et udvikler- eller cloud-login.

Sådan udspillede Railway-angrebet sig

Den rapporterede tidslinje er kort. Sonderingen begyndte en søndag aften i midten af oktober, og det første synlige skridt var en bølge af kontotilmeldinger, tusindvis af dem. Inden for få dage havde angriberne taget aktiver til en værdi af mere end 1,1 mio. dollars.

To detaljer skiller sig ud. For det første arbejdede angriberne i skala fra starten og oprettede konti i bulk frem for at målrette en enkelt højværdikunde. For det andet var der ingen løsesumseddel og ingen trussel om datalæk. Målet ser ud til at have været enkelt: at tage noget værdifuldt og bruge eller sælge det.

De dele af artiklen, der er tilgængelige for os, redegør ikke for hvert teknisk skridt, så det er bedst ikke at spekulere i præcis, hvordan kontiene blev omsat til 1,1 mio. dollars. Det, der er klart, er resultatet og mønsteret.

Hvorfor AI-regnekraft er det nye mål

I årevis handlede lærebogshistorien om cloud-misbrug om kryptovaluta-mining. Angribere kaprede servere og brændte andres elregning af for at præge mønter. Railway-sagen peger et andet sted hen: det meste af det, der blev taget, var slet ikke krypto, men AI-regnekraft.

Det giver mening, når man overvejer økonomien. Regnekraft, især den type der bruges til AI-arbejdsbelastninger, er dyr og efterspurgt. I modsætning til en database med stjålne oplysninger behøver den ikke at blive solgt på et dark web-forum eller brugt mod et offer. Den kan simpelthen bruges eller videresælges, og regningen går til en anden.

Det ændrer også, hvad der tæller som en værdifuld konto. Et login til en cloud-platform er ikke længere bare en dør til gemte filer. Det er en dør til en forbrugsafregnet ressource, der kan omsættes til penge. Den samme logik gælder for angreb på krypto-platforme, såsom Liquid Network-hacket, hvor angriberne beholdt 47 mio. dollars af et bytte på 320 mio. dollars. I begge tilfælde er målet noget, der direkte kan gøres til penge, selvom Railway-sagen viser, at præmien ikke længere behøver at være mønter.

Hvad bruddet afslører om cloud-tilmelding og legitimationssikkerhed

Det mest bemærkelsesværdige træk ved angrebet er dets udgangspunkt: tusindvis af nyligt oprettede konti. Det antyder, at forsiden af en cloud-tjeneste, tilmeldingsprocessen, er en del af angrebsoverfladen, ikke bare login-siden, som eksisterende kunder bruger.

For platforme rejser det spørgsmål om, hvor let konti kan oprettes i bulk, og hvor hurtigt usædvanlige mønstre bemærkes. For individuelle brugere og små teams er læren anderledes, men beslægtet: alt, der giver adgang til regnekraft, er et mål, hvad enten det er en adgangskode, en API-nøgle eller et gemt token.

Legitimationsoplysninger bliver normalt stjålet længe før, de bliver misbrugt. Phishing-sider, malware og kompromitterede netværk leverer alle sammen forsyningen. Microsofts advarsel om russiske hackere, der bruger hotel-Wi-Fi-netværk til at stjæle Microsoft 365-loginoplysninger, viser én måde, hvorpå almindelige logins ender i angribernes hænder. Når først legitimationsoplysningerne er ude, kan en cloud-konto med en tilknyttet betalingsmetode blive en kilde til regnekraft, som en anden betaler for.

Hvad det betyder for dig

Du behøver ikke være Railway-kunde, for at dette er relevant. Hvis du driver sideprojekter, hoster apps, træner modeller eller har API-nøgler til en hvilken som helst cloud- eller AI-tjeneste, har du noget, en angriber kan omsætte til kontanter.

Risikoen er primært økonomisk og operationel. Stjålet regnekraft kan betyde uventede regninger, suspenderede konti eller forstyrrelser i dit eget arbejde. I modsætning til et databrud kan skaden først vise sig som en mærkelig linje på en faktura frem for en alarm.

Den gode nyhed er, at de grundlæggende forsvar er velkendte, og de fleste af dem tager få minutter at sætte op.

Sådan beskytter du dine cloud-konti og API-nøgler

  • Slå multifaktor-godkendelse til overalt. Prioriter cloud-platforme, kodelagre og e-mailkonti, der kan nulstille dine adgangskoder.
  • Brug unikke adgangskoder. En adgangskodeadministrator gør dette praktisk, og det begrænser skaden, hvis en tjeneste kompromitteres.
  • Roter API-nøgler regelmæssigt. Udskift nøgler efter en plan, og straks hvis en kan være blevet eksponeret. Slet nøgler, du ikke længere bruger.
  • Hold hemmeligheder ude af koden. Undgå at indsætte nøgler i offentlige lagre, delte dokumenter eller chatbeskeder.
  • Opsæt fakturerings- og forbrugsalarmer. Udgiftslofter og notifikationer om usædvanlig aktivitet er ofte den tidligste advarsel om, at regnekraft bruges af en anden.
  • Begræns tilladelser. Giv hver nøgle eller bruger kun den adgang, der er nødvendig for dens opgave.
  • Vær forsigtig på utroværdige netværk. Offentlig Wi-Fi på hoteller, lufthavne og caféer er et almindeligt sted for opsnapning eller phishing af legitimationsoplysninger.

Konklusion: Gennemgå dine cloud-konti i denne uge

Railway-hændelsen er en påmindelse om, at cloud-kontosikkerhed og tyveri af AI-regnekraft er en praktisk, omsættelig trussel, og angribere er villige til at registrere tusindvis af konti for at forfølge den. Afsæt en halv time til at gennemgå dine cloud- og udviklerkonti: bekræft, at multifaktor-godkendelse er slået til, roter gamle API-nøgler, og slå forbrugs- og faktureringsalarmer til. Hvis du rejser i forbindelse med arbejde, så læs, hvordan loginoplysninger stjæles på hotel-Wi-Fi, for at forstå, hvordan legitimationsoplysninger forlader dine hænder i første omgang. En lille gennemgang nu er langt billigere end en regning, du ikke selv har skabt.