Οι χάκερς άρχισαν να διερευνούν την εταιρεία cloud computing Railway ένα βράδυ Κυριακής στα μέσα Οκτωβρίου, εγγράφοντας χιλιάδες λογαριασμούς. Μέσα σε λίγες ημέρες, είχαν αποσπάσει περιουσιακά στοιχεία αξίας άνω του 1,1 εκατομμυρίου δολαρίων. Σύμφωνα με δημοσίευμα του The Currency, το μεγαλύτερο μέρος των κλοπιμαίων δεν προερχόταν από κρυπτονομίσματα, και η επιχείρηση δεν αφορούσε εκβιασμό ή ransomware. Η υπόθεση αποτελεί ξεκάθαρο παράδειγμα του γιατί η ασφάλεια λογαριασμών cloud και η κλοπή υπολογιστικής ισχύος AI αξίζει την προσοχή οποιουδήποτε διαθέτει σύνδεση σε πλατφόρμα προγραμματιστή ή cloud.

Πώς εκτυλίχθηκε η επίθεση στη Railway

Το χρονοδιάγραμμα που έχει αναφερθεί είναι σύντομο. Η διερεύνηση ξεκίνησε ένα βράδυ Κυριακής στα μέσα Οκτωβρίου, και το πρώτο ορατό βήμα ήταν ένα κύμα εγγραφών λογαριασμών, χιλιάδων τον αριθμό. Μέσα σε λίγες ημέρες, οι επιτιθέμενοι είχαν πάρει περιουσιακά στοιχεία αξίας άνω του 1,1 εκατομμυρίου δολαρίων.

Δύο λεπτομέρειες ξεχωρίζουν. Πρώτον, οι επιτιθέμενοι δρούσαν σε κλίμακα από την αρχή, δημιουργώντας λογαριασμούς μαζικά αντί να στοχεύσουν έναν μεμονωμένο πελάτη υψηλής αξίας. Δεύτερον, δεν υπήρχε σημείωμα λύτρων ούτε απειλή διαρροής δεδομένων. Ο στόχος φαίνεται να ήταν απλός: να πάρουν κάτι πολύτιμο και να το χρησιμοποιήσουν ή να το πουλήσουν.

Τα τμήματα του άρθρου που έχουμε στη διάθεσή μας δεν περιγράφουν κάθε τεχνικό βήμα, επομένως είναι καλύτερο να μην κάνουμε εικασίες για το πώς ακριβώς οι λογαριασμοί μετατράπηκαν σε 1,1 εκατομμύριο δολάρια. Αυτό που είναι σαφές είναι το αποτέλεσμα και το μοτίβο.

Γιατί η υπολογιστική ισχύς AI είναι ο νέος στόχος

Για χρόνια, η κλασική ιστορία κατάχρησης cloud αφορούσε την εξόρυξη κρυπτονομισμάτων. Οι επιτιθέμενοι έκλεβαν διακομιστές και έκαιγαν τον λογαριασμό ρεύματος κάποιου άλλου για να κόψουν νομίσματα. Η υπόθεση Railway δείχνει κάτι διαφορετικό: το μεγαλύτερο μέρος από ό,τι πάρθηκε δεν ήταν καθόλου κρυπτονομίσματα, αλλά υπολογιστική ισχύς AI.

Αυτό βγάζει νόημα αν σκεφτεί κανείς την οικονομική πλευρά. Η υπολογιστική χωρητικότητα, ειδικά αυτή που χρησιμοποιείται για φόρτους εργασίας AI, είναι ακριβή και περιζήτητη. Σε αντίθεση με μια βάση δεδομένων κλεμμένων αρχείων, δεν χρειάζεται να πουληθεί σε φόρουμ του dark web ή να χρησιμοποιηθεί ως μοχλός πίεσης κατά ενός θύματος. Μπορεί απλώς να χρησιμοποιηθεί, ή να μεταπωληθεί, και ο λογαριασμός πηγαίνει σε κάποιον άλλο.

Αυτό αλλάζει επίσης το τι θεωρείται πολύτιμος λογαριασμός. Μια σύνδεση σε μια πλατφόρμα cloud δεν είναι πλέον απλώς μια πόρτα σε αποθηκευμένα αρχεία. Είναι μια πόρτα σε έναν πόρο με χρέωση ανά χρήση που μπορεί να μετατραπεί σε χρήματα. Η ίδια λογική ισχύει για επιθέσεις σε πλατφόρμες κρυπτονομισμάτων, όπως το χάκινγκ στο Liquid Network, όπου οι επιτιθέμενοι κράτησαν 47 εκατ. δολάρια από λεία 320 εκατ. δολαρίων. Και στις δύο περιπτώσεις, ο στόχος είναι κάτι που μπορεί να monetοποιηθεί άμεσα, αν και η υπόθεση Railway δείχνει ότι το έπαθλο δεν χρειάζεται πλέον να είναι νομίσματα.

Τι αποκαλύπτει η παραβίαση για την εγγραφή στο cloud και την ασφάλεια διαπιστευτηρίων

Το πιο αξιοσημείωτο χαρακτηριστικό της επίθεσης είναι το σημείο εκκίνησής της: χιλιάδες νεοδημιουργημένοι λογαριασμοί. Αυτό υποδηλώνει ότι η μπροστινή πόρτα μιας υπηρεσίας cloud, η διαδικασία εγγραφής, αποτελεί μέρος της επιφάνειας επίθεσης, όχι μόνο η σελίδα σύνδεσης που χρησιμοποιούν οι υπάρχοντες πελάτες.

Για τις πλατφόρμες, αυτό εγείρει ερωτήματα σχετικά με το πόσο εύκολα μπορούν να δημιουργηθούν λογαριασμοί μαζικά και πόσο γρήγορα εντοπίζονται ασυνήθιστα μοτίβα. Για μεμονωμένους χρήστες και μικρές ομάδες, το δίδαγμα είναι διαφορετικό αλλά σχετικό: οτιδήποτε παρέχει πρόσβαση σε υπολογιστική ισχύ είναι στόχος, είτε πρόκειται για κωδικό πρόσβασης, είτε για κλειδί API, είτε για αποθηκευμένο token.

Τα διαπιστευτήρια συνήθως κλέβονται πολύ πριν χρησιμοποιηθούν κακόβουλα. Σελίδες phishing, κακόβουλο λογισμικό και παραβιασμένα δίκτυα τροφοδοτούν την προσφορά. Η προειδοποίηση της Microsoft σχετικά με Ρώσους χάκερς που χρησιμοποιούν δίκτυα Wi-Fi ξενοδοχείων για να κλέψουν διαπιστευτήρια σύνδεσης Microsoft 365 δείχνει έναν τρόπο με τον οποίο συνηθισμένες συνδέσεις καταλήγουν στα χέρια επιτιθέμενων. Μόλις διαρρεύσουν τα διαπιστευτήρια, ένας λογαριασμός cloud με συνδεδεμένη μέθοδο πληρωμής μπορεί να γίνει πηγή υπολογιστικής ισχύος που πληρώνει κάποιος άλλος.

Τι σημαίνει αυτό για εσάς

Δεν χρειάζεται να είστε πελάτης της Railway για να σας αφορά αυτό. Αν τρέχετε παράλληλα projects, φιλοξενείτε εφαρμογές, εκπαιδεύετε μοντέλα ή κρατάτε κλειδιά API για οποιαδήποτε υπηρεσία cloud ή AI, έχετε κάτι που ένας επιτιθέμενος μπορεί να μετατρέψει σε μετρητά.

Ο κίνδυνος είναι κυρίως οικονομικός και επιχειρησιακός. Η κλεμμένη υπολογιστική ισχύς μπορεί να σημαίνει απροσδόκητους λογαριασμούς, αναστολή λογαριασμών ή διακοπή της δικής σας εργασίας. Σε αντίθεση με μια διαρροή δεδομένων, η ζημιά μπορεί να εμφανιστεί πρώτα ως μια περίεργη γραμμή σε ένα τιμολόγιο παρά ως ειδοποίηση.

Τα καλά νέα είναι ότι οι βασικές άμυνες είναι καλά κατανοητές, και οι περισσότερες χρειάζονται λίγα λεπτά για να ρυθμιστούν.

Πώς να προστατέψετε τους λογαριασμούς cloud και τα κλειδιά API σας

  • Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων παντού. Δώστε προτεραιότητα σε πλατφόρμες cloud, αποθετήρια κώδικα και λογαριασμούς email που μπορούν να επαναφέρουν τους κωδικούς σας.
  • Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης. Ένας διαχειριστής κωδικών το κάνει πρακτικό, και περιορίζει τη ζημιά αν παραβιαστεί μια υπηρεσία.
  • Αλλάζετε τακτικά τα κλειδιά API. Αντικαθιστάτε τα κλειδιά σε προγραμματισμένη βάση, και αμέσως αν κάποιο μπορεί να έχει εκτεθεί. Διαγράψτε κλειδιά που δεν χρησιμοποιείτε πλέον.
  • Κρατήστε τα μυστικά έξω από τον κώδικα. Αποφύγετε να επικολλάτε κλειδιά σε δημόσια αποθετήρια, κοινόχρηστα έγγραφα ή μηνύματα συνομιλίας.
  • Ρυθμίστε ειδοποιήσεις χρέωσης και χρήσης. Τα όρια δαπανών και οι ειδοποιήσεις για ασυνήθιστη δραστηριότητα είναι συχνά η πρώτη προειδοποίηση ότι η υπολογιστική ισχύς χρησιμοποιείται από κάποιον άλλο.
  • Περιορίστε τα δικαιώματα. Δώστε σε κάθε κλειδί ή χρήστη μόνο την πρόσβαση που απαιτείται για την εργασία του.
  • Να είστε προσεκτικοί σε μη αξιόπιστα δίκτυα. Το δημόσιο Wi-Fi σε ξενοδοχεία, αεροδρόμια και καφετέριες είναι κοινός τόπος για την υποκλοπή ή το phishing διαπιστευτηρίων.

Συμπέρασμα: Ελέγξτε τους λογαριασμούς cloud σας αυτή την εβδομάδα

Το περιστατικό της Railway είναι μια υπενθύμιση ότι η ασφάλεια λογαριασμών cloud και η κλοπή υπολογιστικής ισχύος AI αποτελεί πρακτική, monetοποιήσιμη απειλή, και οι επιτιθέμενοι είναι πρόθυμοι να εγγράψουν χιλιάδες λογαριασμούς για να την επιδιώξουν. Αφιερώστε μισή ώρα για να ελέγξετε τους λογαριασμούς cloud και προγραμματιστή σας: επιβεβαιώστε ότι ο έλεγχος ταυτότητας πολλαπλών παραγόντων είναι ενεργός, αλλάξτε παλιά κλειδιά API και ενεργοποιήστε ειδοποιήσεις χρήσης και χρέωσης. Αν ταξιδεύετε για δουλειά, διαβάστε πώς κλέβονται τα στοιχεία σύνδεσης σε Wi-Fi ξενοδοχείων για να κατανοήσετε πώς τα διαπιστευτήρια φεύγουν από τα χέρια σας εξαρχής. Ένας μικρός έλεγχος τώρα είναι πολύ φθηνότερος από έναν λογαριασμό που δεν δημιουργήσατε εσείς.