Historien om løsepengekravet etter GMO Internet-bruddet har et overskriftstall: 50 millioner dollar. Ifølge rapportering fra TokenPost har selskapets administrerende direktør offentliggjort at angripere krevde dette beløpet etter et brudd i selskapets skytjenesteinfrastruktur, og at selskapet sier de ikke har betalt noe. Opptil 26 739 servere kan være berørt.
De offentlige detaljene er så langt sparsommelige. Likevel er saken en nyttig påminnelse om hvor mye kundene til hosting- og skytjenesteleverandører er avhengige av sikkerhet de ikke kan se, og hva de likevel kan gjøre for å beskytte seg selv.
Hva GMO Internet sier skjedde
Kjernepåstandene fra rapporteringen er korte. GMO Internets administrerende direktør har sagt at selskapet mottok et løsepengekrav på 50 millioner dollar etter et brudd i selskapets skymiljø. Selskapet sier det ikke har betalt. Omfanget av mulig eksponering er opptil 26 739 servere.
Ordvalget er viktig. "Opptil" og "kan være" er forsiktige formuleringer. De antyder at selskapet beskriver maksimalt potensielt omfang snarere enn å bekrefte at hver av disse serverne ble aksessert eller at data ble hentet fra hver av dem. Kildematerialet vi har sier ikke hvordan angriperne kom seg inn, hvilken type data som var involvert, eller hvorvidt noen informasjon er publisert eller solgt.
Inntil GMO Internet eller uavhengige etterforskere frigir mer, forblir disse spørsmålene åpne. Vi vil ikke gjette på dem her.
Hvem kan være berørt av servereksponeringen
Tallet 26 739 servere er en telling av maskiner, ikke personer. En enkelt server hos en hosting-leverandør kan inneholde data for én kunde eller for mange, avhengig av hvordan tjenesten er satt opp. Det betyr at antallet berørte enkeltpersoner eller bedrifter kan være mindre eller større enn serverantallet antyder.
I praktiske termer er det personene med mest grunn til å følge med:
- Kunder som driver nettsteder, applikasjoner eller databaser på GMO Internets skytjenester
- Bedrifter hvis leverandører hoster data hos selskapet
- Sluttbrukere av nettsteder og tjenester som ligger på infrastruktur som kan være i omfanget
Den siste gruppen er vanskeligst å identifisere. Mange bruker tjenester som hostes av en leverandør uten å vite hvem leverandøren er. Hvis en bedrift du forholder deg til er berørt, kan varselet komme fra den bedriften snarere enn fra verten.
Hva et brudd hos en hosting-leverandør betyr for kundedata
Når du lagrer data hos en sky- eller hosting-leverandør, stoler du på flere sikkerhetslag du ikke kontrollerer: leverandørens nettverk, dens administrative tilgang, dens ansattes praksis og dens oppdatering av systemer. En svakhet i noen av disse kan eksponere mange kunder samtidig, noe som er grunnen til at angripere retter seg mot leverandører snarere enn enkeltsider.
Et løsepengekrav tilfører en annen dimensjon. Utpressing av denne typen avhenger vanligvis av en trussel, for eksempel å låse systemer eller frigjøre stjålne data. Rapporteringen spesifiserer ikke hvilken som ble truet her, så det er ikke klart hvorvidt kundedata er i fare for publisering eller hvorvidt presset var rettet mot driften.
Selskapets uttalte nektelse av å betale er bemerkelsesverdig. Sikkerhetseksperter anbefaler ofte å ikke betale, siden betaling ikke garanterer at data slettes eller tilgang gjenopprettes, og det kan oppmuntre til ytterligere angrep. Men å nekte sletter ikke risikoen for kundene. Hvis data ble kopiert, kan det fortsatt være i angripernes hender uansett hva selskapet bestemmer.
Dette er nøkkelpunktet for brukere: en leverandørs beslutning om en løsesum er separat fra spørsmålet om hvorvidt dine data er trygge. Du kan bare kontrollere det andre ved å begrense hva et brudd potensielt kan avsløre i utgangspunktet.
Tiltak brukere kan ta nå for å begrense eksponering
Du trenger ikke vente på en full hendelsesrapport for å stramme inn din egen sikkerhet. Rimelige tiltak inkluderer:
- Endre passord. Hvis du bruker en tjeneste som kan kjøre på GMO Internets infrastruktur, endre passordet der, og overalt hvor du har gjenbrukt det. Bruk et unikt passord for hver konto, ideelt sett fra en passordbehandler.
- Slå på tofaktorautentisering. Selv om et passord lekker, gjør en andre faktor det mye vanskeligere for noen å logge inn. Autentiseringsapper eller maskinvarenøkler er generelt sterkere enn tekstmeldinger.
- Følg med på bruddvarsler. Sjekk e-post fra leverandørene dine og eventuelle tjenester du bruker, og les dem nøye. Gå direkte til selskapets offisielle nettsted i stedet for å klikke på lenker i uventede meldinger, siden bruddnyheter ofte utløser phishing.
- Krypter sensitive data før du laster dem opp. Hvis filer er kryptert på enheten din med nøkler bare du har, eksponerer et brudd på leverandørsiden forvansket data snarere enn lesbare dokumenter. Dette er den mest varige beskyttelsen mot en vert du ikke kan inspisere.
- Gå gjennom hva du lagrer. Slett data du ikke lenger trenger fra tredjepartsservere. Informasjon som ikke er der kan ikke stjeles.
- Overvåk kontoene dine. Hold øye med kontoutskrifter og innloggingsvarsler for uvanlig aktivitet i ukene som kommer.
Hva dette betyr for deg
Hvis du er direkte kunde av GMO Internet, følg med på offisiell kommunikasjon fra selskapet og følg deres veiledning. Hvis du er bedriftseier, sjekk hvilke av dine systemer og leverandører som er avhengige av den berørte infrastrukturen og spør dem direkte om de er i omfanget.
Hvis du er en vanlig bruker uten anelse om du er involvert, er den sikreste antakelsen rett og slett å behandle dette som en oppfordring til å forbedre vanene dine. En VPN løser ikke et brudd på leverandørsiden, fordi dataene ble eksponert på serveren, ikke under overføring. Sterke, unike passord, tofaktorautentisering og kryptering av det du lagrer er det som hjelper her.
Viktige punkter
Avsløringen av løsepengekravet etter GMO Internet-bruddet etterlater mange ubesvarte spørsmål: hvordan angriperne kom seg inn, hva som ble tatt, og hvor mange kunder som faktisk er berørt. Det som er dokumentert er et krav på 50 millioner dollar, en uttalt nektelse av å betale, og et potensielt fotavtrykk på opptil 26 739 servere.
Mens fakta kommer frem, handle på det du kan kontrollere. Endre passordene dine, aktiver tofaktorautentisering, les bruddvarsler fra leverandørene dine når de ankommer, og krypter sensitive filer før de når noen andres servere. Disse tiltakene begrenser skaden fra denne hendelsen og fra den neste.
