La vicenda del riscatto per la violazione del cloud di GMO Internet ha un numero di rilievo: 50 milioni di dollari. Secondo quanto riportato da TokenPost, l'amministratore delegato dell'azienda ha dichiarato che gli attaccanti hanno richiesto tale somma dopo una violazione della propria infrastruttura cloud, e che l'azienda afferma di non aver pagato nulla. Fino a 26.739 server potrebbero essere stati coinvolti.
I dettagli pubblici sono finora scarni. Tuttavia, il caso è un utile promemoria di quanto i clienti dei provider di hosting e cloud si affidino a una sicurezza che non possono vedere, e di cosa possono fare comunque per proteggersi.
Cosa afferma GMO Internet sull'accaduto
Le affermazioni centrali del servizio sono brevi. L'amministratore delegato di GMO Internet ha dichiarato che l'azienda ha ricevuto una richiesta di riscatto di 50 milioni di dollari in seguito a una violazione del proprio ambiente cloud. L'azienda afferma di non aver pagato. La portata della possibile esposizione è di fino a 26.739 server.
La formulazione è importante. "Fino a" e "potrebbero" sono espressioni caute. Suggeriscono che l'azienda stia descrivendo la portata potenziale massima anziché confermare che ognuno di quei server sia stato effettivamente compromesso o che da ciascuno siano stati sottratti dati. Il materiale di partenza in nostro possesso non indica come gli attaccanti siano entrati, quale tipo di dati sia stato coinvolto, né se qualche informazione sia stata pubblicata o venduta.
Finché GMO Internet o investigatori indipendenti non rilasceranno ulteriori informazioni, tali questioni restano aperte. Non avanzeremo ipotesi al riguardo in questa sede.
Chi potrebbe essere interessato dall'esposizione dei server
La cifra di 26.739 server è un conteggio di macchine, non di persone. Un singolo server presso un provider di hosting può contenere dati di un solo cliente o di molti, a seconda di come è configurato il servizio. Ciò significa che il numero di individui o aziende coinvolti potrebbe essere inferiore o superiore a quanto suggerisce il conteggio dei server.
In termini pratici, le persone che hanno maggiori motivi per prestare attenzione sono:
- I clienti che gestiscono siti web, applicazioni o database sui servizi cloud di GMO Internet
- Le aziende i cui fornitori ospitano dati presso la società
- Gli utenti finali di siti e servizi che poggiano su infrastrutture potenzialmente coinvolte
Quest'ultimo gruppo è il più difficile da identificare. Molte persone utilizzano servizi ospitati da un provider senza sapere chi sia il provider. Se un'azienda con cui hai a che fare è coinvolta, la notifica potrebbe arrivare da quella stessa azienda anziché dal provider.
Cosa significa una violazione di un provider di hosting per i dati dei clienti
Quando archivi dati presso un provider cloud o di hosting, ti affidi a diversi livelli di sicurezza che non controlli: la rete del provider, il suo accesso amministrativo, le pratiche del suo personale e le sue attività di patching. Una debolezza in uno qualsiasi di questi livelli può esporre molti clienti contemporaneamente, ed è per questo che gli attaccanti prendono di mira i provider anziché i singoli siti.
Una richiesta di riscatto aggiunge un'ulteriore dimensione. Un'estorsione di questo tipo si basa tipicamente su una minaccia, come il blocco dei sistemi o la divulgazione di dati rubati. Il servizio non specifica quale sia stata minacciata in questo caso, quindi non è chiaro se i dati dei clienti rischino la pubblicazione o se la pressione fosse mirata alle operazioni.
Il rifiuto dichiarato dell'azienda di pagare è notevole. I professionisti della sicurezza spesso sconsigliano di pagare, poiché il pagamento non garantisce che i dati vengano cancellati o che l'accesso venga ripristinato, e può incoraggiare ulteriori attacchi. Ma rifiutare non elimina il rischio per i clienti. Se i dati sono stati copiati, potrebbero comunque essere in mano agli attaccanti qualunque sia la decisione dell'azienda.
Questo è il punto chiave per gli utenti: la decisione di un provider in merito a un riscatto è distinta dalla questione se i tuoi dati siano al sicuro. Puoi controllare la seconda solo limitando ciò che una violazione potrebbe rivelare in primo luogo.
Misure che gli utenti possono adottare subito per limitare l'esposizione
Non è necessario attendere un rapporto completo sull'incidente per rafforzare la propria sicurezza. Le misure ragionevoli includono:
- Cambia le password. Se utilizzi un servizio che potrebbe funzionare sull'infrastruttura di GMO Internet, cambia la password lì e ovunque tu l'abbia riutilizzata. Usa una password unica per ogni account, idealmente da un gestore di password.
- Attiva l'autenticazione a due fattori. Anche se una password viene divulgata, un secondo fattore rende molto più difficile l'accesso per qualcun altro. Le app di autenticazione o le chiavi hardware sono generalmente più robuste degli SMS.
- Tieni d'occhio le notifiche di violazione. Controlla le email dei tuoi provider e dei servizi che utilizzi e leggile con attenzione. Vai direttamente al sito ufficiale dell'azienda anziché cliccare sui link in messaggi inaspettati, poiché le notizie di violazioni spesso innescano tentativi di phishing.
- Cifra i dati sensibili prima di caricarli. Se i file sono cifrati sul tuo dispositivo con chiavi che possiedi solo tu, una violazione lato provider espone dati cifrati anziché documenti leggibili. Questa è la protezione più duratura contro un host che non puoi ispezionare.
- Rivedi ciò che archivi. Elimina i dati di cui non hai più bisogno dai server di terzi. Le informazioni che non sono lì non possono essere rubate.
- Monitora i tuoi account. Tieni sotto controllo gli estratti conto e gli avvisi di accesso per attività insolite nelle prossime settimane.
Cosa significa questo per te
Se sei un cliente diretto di GMO Internet, tieni d'occhio le comunicazioni ufficiali dell'azienda e segui le sue indicazioni. Se sei un titolare d'impresa, verifica quali dei tuoi sistemi e fornitori si affidano all'infrastruttura coinvolta e chiedi loro direttamente se sono nell'ambito della violazione.
Se sei un utente comune senza idea di essere coinvolto, l'ipotesi più sicura è semplicemente trattare questo episodio come uno stimolo a migliorare le tue abitudini. Una VPN non risolve una violazione lato provider, perché i dati sono stati esposti sul server, non in transito. Password robuste e uniche, autenticazione a due fattori e la cifratura di ciò che archivi sono ciò che aiuta in questo caso.
Punti chiave
La divulgazione del riscatto per la violazione del cloud di GMO Internet lascia molte domande senza risposta: come siano entrati gli attaccanti, cosa sia stato sottratto e quanti clienti siano realmente coinvolti. Ciò che è documentato è una richiesta di 50 milioni di dollari, un dichiarato rifiuto di pagare e un'impronta potenziale di fino a 26.739 server.
Mentre i fatti emergono, agisci su ciò che puoi controllare. Cambia le tue password, abilita l'autenticazione a due fattori, leggi le notifiche di violazione dei tuoi provider quando arrivano e cifra i file sensibili prima che raggiungano i server di qualcun altro. Queste misure limitano i danni di questo incidente e del prossimo.
