La historia del rescate por la brecha en la nube de GMO Internet tiene una cifra principal: 50 millones de dólares. Según el reportaje de TokenPost, el CEO de la compañía ha revelado que los atacantes exigieron esa cantidad tras una brecha en su infraestructura de nube, y que la compañía afirma no haber pagado nada. Hasta 26.739 servidores podrían haberse visto afectados.
Los detalles públicos son escasos hasta ahora. Aun así, el caso es un recordatorio útil de cuánto dependen los clientes de los proveedores de alojamiento y de nube de una seguridad que no pueden ver, y de lo que pueden hacer para protegerse de todos modos.
Lo que GMO Internet dice que ocurrió
Las afirmaciones centrales del reportaje son breves. El CEO de GMO Internet ha dicho que la compañía recibió una exigencia de rescate de 50 millones de dólares tras una brecha en su entorno de nube. La compañía dice que no ha pagado. La escala de la posible exposición es de hasta 26.739 servidores.
La redacción importa. "Hasta" y "podrían haber" son expresiones cautelosas. Sugieren que la compañía está describiendo el máximo alcance potencial en lugar de confirmar que se accedió a cada uno de esos servidores o que se sustrajeron datos de cada uno. El material de origen que tenemos no dice cómo entraron los atacantes, qué tipo de datos estaba involucrado, ni si alguna información ha sido publicada o vendida.
Hasta que GMO Internet o investigadores independientes publiquen más información, esas preguntas siguen abiertas. No especularemos sobre ellas aquí.
Quién puede verse afectado por la exposición de servidores
La cifra de 26.739 servidores es un recuento de máquinas, no de personas. Un solo servidor en un proveedor de alojamiento puede contener datos de un cliente o de muchos, según cómo esté configurado el servicio. Eso significa que el número de personas o empresas afectadas podría ser menor o mayor de lo que sugiere el recuento de servidores.
En términos prácticos, las personas con más motivos para prestar atención son:
- Clientes que ejecutan sitios web, aplicaciones o bases de datos en los servicios de nube de GMO Internet
- Empresas cuyos proveedores alojan datos con la compañía
- Usuarios finales de sitios y servicios que se asientan sobre infraestructura que podría estar en el alcance
Ese último grupo es el más difícil de identificar. Muchas personas usan servicios alojados por un proveedor sin saber quién es el proveedor. Si una empresa con la que usted trata se ve afectada, el aviso puede venir de esa empresa en lugar del anfitrión.
Qué significa una brecha en un proveedor de alojamiento para los datos de los clientes
Cuando usted almacena datos con un proveedor de nube o de alojamiento, está confiando en varias capas de seguridad que no controla: la red del proveedor, su acceso administrativo, las prácticas de su personal y sus parches. Una debilidad en cualquiera de ellas puede exponer a muchos clientes a la vez, y por eso los atacantes se dirigen a los proveedores en lugar de a sitios individuales.
Una exigencia de rescate añade otra dimensión. La extorsión de este tipo normalmente depende de una amenaza, como bloquear sistemas o publicar datos robados. El reportaje no especifica cuál se amenazó aquí, así que no está claro si los datos de los clientes corren el riesgo de ser publicados o si la presión se dirigió a las operaciones.
La negativa declarada de la compañía a pagar es notable. Los profesionales de seguridad suelen aconsejar no pagar, ya que el pago no garantiza que los datos se eliminen ni que se restablezca el acceso, y puede alentar más ataques. Pero negarse no borra el riesgo para los clientes. Si los datos fueron copiados, pueden seguir en manos de los atacantes sea cual sea la decisión de la compañía.
Este es el punto clave para los usuarios: la decisión de un proveedor sobre un rescate es independiente de la cuestión de si sus datos están a salvo. Usted solo puede controlar la segunda limitando lo que una brecha podría revelar en primer lugar.
Pasos que los usuarios pueden tomar ahora para limitar la exposición
No necesita esperar a un informe completo del incidente para reforzar su propia seguridad. Las medidas razonables incluyen:
- Cambiar contraseñas. Si usa algún servicio que pueda ejecutarse sobre la infraestructura de GMO Internet, cambie su contraseña allí y en cualquier lugar donde la haya reutilizado. Use una contraseña única para cada cuenta, idealmente de un gestor de contraseñas.
- Activar la autenticación de dos factores. Incluso si una contraseña se filtra, un segundo factor hace mucho más difícil que alguien inicie sesión. Las aplicaciones de autenticación o las llaves de hardware suelen ser más fuertes que los mensajes de texto.
- Estar atento a los avisos de brechas. Revise el correo electrónico de sus proveedores y de cualquier servicio que use, y léalos con atención. Vaya directamente al sitio oficial de la compañía en lugar de hacer clic en enlaces de mensajes inesperados, ya que las noticias de brechas a menudo desencadenan phishing.
- Cifrar los datos sensibles antes de subirlos. Si los archivos están cifrados en su dispositivo con claves que solo usted posee, una brecha del lado del proveedor expone datos cifrados en lugar de documentos legibles. Esta es la protección más duradera contra un anfitrión que no puede inspeccionar.
- Revisar lo que almacena. Elimine de los servidores de terceros los datos que ya no necesite. La información que no está allí no puede ser robada.
- Supervisar sus cuentas. Esté pendiente de los extractos financieros y las alertas de inicio de sesión por actividad inusual en las próximas semanas.
Qué significa esto para usted
Si usted es un cliente directo de GMO Internet, esté atento a las comunicaciones oficiales de la compañía y siga sus indicaciones. Si es propietario de una empresa, compruebe cuáles de sus sistemas y proveedores dependen de la infraestructura afectada y pregúnteles directamente si están en el alcance.
Si es un usuario común sin idea de si está involucrado, la suposición más segura es simplemente tratar esto como un motivo para mejorar sus hábitos. Una VPN no resuelve una brecha del lado del proveedor, porque los datos quedaron expuestos en el servidor, no en tránsito. Contraseñas fuertes y únicas, autenticación de dos factores y el cifrado de lo que almacena son lo que ayuda aquí.
Puntos clave
La divulgación del rescate por la brecha en la nube de GMO Internet deja muchas preguntas sin respuesta: cómo entraron los atacantes, qué se sustrajo y cuántos clientes se ven realmente afectados. Lo que está registrado es una exigencia de 50 millones de dólares, una negativa declarada a pagar y una huella potencial de hasta 26.739 servidores.
Mientras surgen los hechos, actúe sobre lo que puede controlar. Cambie sus contraseñas, habilite la autenticación de dos factores, lea los avisos de brechas de sus proveedores cuando lleguen y cifre los archivos sensibles antes de que lleguen a los servidores de cualquier otra persona. Esos pasos limitan el daño de este incidente y del siguiente.
