Het verhaal over het losgeld na het datalek bij GMO Internet Cloud heeft een opvallend getal: $50 miljoen. Volgens berichtgeving van TokenPost heeft de CEO van het bedrijf onthuld dat aanvallers dat bedrag eisten na een datalek in de cloudinfrastructuur, en dat het bedrijf zegt niets te hebben betaald. Mogelijk zijn tot 26.739 servers getroffen.

De openbare details zijn tot dusver schaars. Toch is de zaak een nuttige herinnering aan hoeveel klanten van hosting- en cloudproviders afhankelijk zijn van beveiliging die zij niet kunnen zien, en wat zij toch kunnen doen om zichzelf te beschermen.

Wat GMO Internet zegt dat er is gebeurd

De kernbeweringen uit de berichtgeving zijn kort. De CEO van GMO Internet heeft gezegd dat het bedrijf een losgeldeis van $50 miljoen ontving na een datalek in zijn cloudomgeving. Het bedrijf zegt niet te hebben betaald. De schaal van mogelijke blootstelling is tot 26.739 servers.

De formulering is belangrijk. "Tot" en "mogelijk" zijn voorzichtige bewoordingen. Ze suggereren dat het bedrijf de maximaal mogelijke omvang beschrijft in plaats van te bevestigen dat al die servers zijn benaderd of dat er van elk data is gestolen. Het bronmateriaal waarover wij beschikken, vermeldt niet hoe de aanvallers binnenkwamen, om welk type data het ging, of er informatie is gepubliceerd of verkocht.

Totdat GMO Internet of onafhankelijke onderzoekers meer vrijgeven, blijven die vragen open. Wij zullen hier niet naar gissen.

Wie mogelijk getroffen zijn door de blootstelling van servers

Het aantal van 26.739 servers is een telling van machines, niet van mensen. Een enkele server bij een hostingprovider kan data bevatten voor één klant of voor velen, afhankelijk van hoe de dienst is opgezet. Dat betekent dat het aantal getroffen personen of bedrijven kleiner of groter kan zijn dan het serveraantal suggereert.

In de praktijk zijn de mensen met de meeste reden om op te letten:

  • Klanten die websites, applicaties of databases draaien op de clouddiensten van GMO Internet
  • Bedrijven waarvan leveranciers data hosten bij het bedrijf
  • Eindgebruikers van sites en diensten die op mogelijk getroffen infrastructuur draaien

Die laatste groep is het moeilijkst te identificeren. Veel mensen gebruiken diensten die door een provider worden gehost zonder te weten wie die provider is. Als een bedrijf waarmee je te maken hebt getroffen is, kan de melding van dat bedrijf komen in plaats van van de host.

Wat een datalek bij een hostingprovider betekent voor klantgegevens

Wanneer je gegevens opslaat bij een cloud- of hostingprovider, vertrouw je op meerdere beveiligingslagen die je niet zelf beheert: het netwerk van de provider, de administratieve toegang, de praktijken van het personeel en het patchbeleid. Een zwakte in een van die lagen kan veel klanten tegelijk blootstellen, en daarom richten aanvallers zich op providers in plaats van op individuele sites.

Een losgeldeis voegt een extra dimensie toe. Afpersing van dit soort hangt doorgaans af van een dreiging, zoals het vergrendelen van systemen of het vrijgeven van gestolen data. De berichtgeving specificeert niet welke dreiging hier werd geuit, dus het is niet duidelijk of klantgegevens gevaar lopen te worden gepubliceerd of dat de druk op de bedrijfsvoering was gericht.

De verklaarde weigering van het bedrijf om te betalen is opmerkelijk. Beveiligingsprofessionals adviseren vaak om niet te betalen, omdat betaling niet garandeert dat data wordt verwijderd of toegang wordt hersteld, en het kan verdere aanvallen aanmoedigen. Maar weigeren wist het risico voor klanten niet uit. Als data is gekopieerd, kan die nog steeds in handen van de aanvallers zijn, wat het bedrijf ook besluit.

Dit is het kernpunt voor gebruikers: de beslissing van een provider over losgeld staat los van de vraag of jouw data veilig is. Je kunt het tweede alleen beheersen door te beperken wat een datalek in de eerste plaats zou kunnen onthullen.

Stappen die gebruikers nu kunnen nemen om blootstelling te beperken

Je hoeft niet te wachten op een volledig incidentrapport om je eigen beveiliging aan te scherpen. Redelijke stappen zijn:

  1. Wijzig wachtwoorden. Als je een dienst gebruikt die mogelijk op de infrastructuur van GMO Internet draait, wijzig daar je wachtwoord, en overal waar je het hebt hergebruikt. Gebruik een uniek wachtwoord voor elk account, idealiter uit een wachtwoordmanager.
  2. Schakel tweefactorauthenticatie in. Zelfs als een wachtwoord uitlekt, maakt een tweede factor het veel moeilijker voor iemand om in te loggen. Authenticator-apps of hardwarematige sleutels zijn doorgaans sterker dan sms-berichten.
  3. Let op datalekmeldingen. Controleer e-mail van je providers en alle diensten die je gebruikt, en lees ze zorgvuldig. Ga rechtstreeks naar de officiële site van het bedrijf in plaats van op links in onverwachte berichten te klikken, omdat nieuws over datalekken vaak phishing uitlokt.
  4. Versleutel gevoelige data voordat je die uploadt. Als bestanden op je apparaat zijn versleuteld met sleutels die alleen jij bezit, legt een datalek aan de providerzijde versluierde data bloot in plaats van leesbare documenten. Dit is de meest duurzame bescherming tegen een host die je niet kunt inspecteren.
  5. Herzie wat je opslaat. Verwijder data die je niet meer nodig hebt van servers van derden. Informatie die er niet is, kan niet worden gestolen.
  6. Houd je accounts in de gaten. Let de komende weken op bankafschriften en inlogmeldingen voor ongebruikelijke activiteit.

Wat dit voor jou betekent

Als je een directe klant van GMO Internet bent, let dan op officiële communicatie van het bedrijf en volg de richtlijnen. Als je een bedrijfseigenaar bent, controleer dan welke van je systemen en leveranciers afhankelijk zijn van de getroffen infrastructuur en vraag hen rechtstreeks of zij binnen de scope vallen.

Als je een gewone gebruiker bent zonder enig idee of je erbij betrokken bent, is de veiligste aanname simpelweg om dit te behandelen als een aanleiding om je gewoonten te verbeteren. Een VPN lost een datalek aan de providerzijde niet op, omdat de data op de server werd blootgesteld, niet tijdens transport. Sterke, unieke wachtwoorden, tweefactorauthenticatie en versleuteling van wat je opslaat, zijn wat hier helpt.

Belangrijkste punten

De onthulling over het losgeld na het datalek bij GMO Internet Cloud laat veel vragen onbeantwoord: hoe de aanvallers binnenkwamen, wat er is weggenomen en hoeveel klanten werkelijk getroffen zijn. Wat vaststaat, is een eis van $50 miljoen, een verklaarde weigering om te betalen en een mogelijk bereik van tot 26.739 servers.

Terwijl de feiten boven water komen, onderneem actie op wat je kunt beheersen. Wijzig je wachtwoorden, schakel tweefactorauthenticatie in, lees datalekmeldingen van je providers wanneer ze binnenkomen, en versleutel gevoelige bestanden voordat ze op andermans servers belanden. Die stappen beperken de schade van dit incident en van het volgende.