Historia okupu związanego z naruszeniem chmury GMO Internet ma nagłówkową liczbę: 50 milionów dolarów. Według doniesień TokenPost, CEO firmy ujawnił, że atakujący zażądali tej kwoty po naruszeniu jej infrastruktury chmurowej, a firma twierdzi, że nie zapłaciła nic. Naruszenie mogło dotyczyć nawet 26 739 serwerów.

Publicznie dostępne szczegóły są jak dotąd skąpe. Niemniej jednak sprawa jest użytecznym przypomnieniem, jak bardzo klienci dostawców hostingu i chmury polegają na bezpieczeństwie, którego nie widzą, oraz co mogą zrobić, aby mimo wszystko się chronić.

Co GMO Internet twierdzi, że się stało

Podstawowe twierdzenia z doniesień są krótkie. CEO GMO Internet powiedział, że firma otrzymała żądanie okupu w wysokości 50 milionów dolarów po naruszeniu jej środowiska chmurowego. Firma twierdzi, że nie zapłaciła. Skala możliwego narażenia wynosi do 26 739 serwerów.

Sformułowania mają znaczenie. „Do" i „mogło" to ostrożne zwroty. Sugerują, że firma opisuje maksymalny potencjalny zakres, a nie potwierdza, że uzyskano dostęp do każdego z tych serwerów lub że z każdego z nich wykradziono dane. Materiały źródłowe, którymi dysponujemy, nie mówią, w jaki sposób atakujący weszli, jaki rodzaj danych był zaangażowany ani czy jakiekolwiek informacje zostały opublikowane lub sprzedane.

Dopóki GMO Internet lub niezależni śledczy nie ujawnią więcej, te pytania pozostają otwarte. Nie będziemy ich tutaj zgadywać.

Kto może być dotknięty ekspozycją serwerów

Liczba 26 739 serwerów to liczba maszyn, a nie ludzi. Pojedynczy serwer u dostawcy hostingu może przechowywać dane jednego klienta lub wielu, w zależności od konfiguracji usługi. Oznacza to, że liczba dotkniętych osób lub firm może być mniejsza lub większa, niż sugeruje liczba serwerów.

W praktyce osoby, które mają najwięcej powodów, by zwrócić uwagę, to:

  • Klienci, którzy uruchamiają strony internetowe, aplikacje lub bazy danych w usługach chmurowych GMO Internet
  • Firmy, których dostawcy przechowują dane u tej firmy
  • Użytkownicy końcowi witryn i usług działających na infrastrukturze, która może być objęta zakresem

Ta ostatnia grupa jest najtrudniejsza do zidentyfikowania. Wiele osób korzysta z usług hostowanych przez dostawcę, nie wiedząc, kim jest ten dostawca. Jeśli dotknięta jest firma, z którą masz do czynienia, powiadomienie może nadejść od tej firmy, a nie od hosta.

Co naruszenie u dostawcy hostingu oznacza dla danych klientów

Kiedy przechowujesz dane u dostawcy chmury lub hostingu, ufasz kilku warstwom bezpieczeństwa, których nie kontrolujesz: sieci dostawcy, jego dostępowi administracyjnemu, praktykom jego personelu i jego łataniu. Słabość w którejkolwiek z nich może narazić wielu klientów jednocześnie, dlatego atakujący celują w dostawców, a nie w pojedyncze witryny.

Żądanie okupu dodaje kolejny wymiar. Wymuszenia tego rodzaju zazwyczaj opierają się na groźbie, takiej jak zablokowanie systemów lub ujawnienie skradzionych danych. Doniesienia nie precyzują, czym tu grożono, więc nie jest jasne, czy dane klientów są zagrożone publikacją, czy presja była wymierzona w działalność operacyjną.

Deklarowana odmowa zapłaty ze strony firmy jest godna uwagi. Specjaliści ds. bezpieczeństwa często odradzają płacenie, ponieważ zapłata nie gwarantuje usunięcia danych ani przywrócenia dostępu, a może zachęcać do kolejnych ataków. Jednak odmowa nie usuwa ryzyka dla klientów. Jeśli dane zostały skopiowane, mogą nadal znajdować się w rękach atakujących, niezależnie od decyzji firmy.

To jest kluczowy punkt dla użytkowników: decyzja dostawcy dotycząca okupu jest oddzielna od pytania, czy twoje dane są bezpieczne. Możesz kontrolować to drugie tylko poprzez ograniczenie tego, co naruszenie mogłoby ujawnić w pierwszej kolejności.

Kroki, które użytkownicy mogą teraz podjąć, aby ograniczyć ekspozycję

Nie musisz czekać na pełny raport o incydencie, aby wzmocnić własne bezpieczeństwo. Rozsądne kroki obejmują:

  1. Zmień hasła. Jeśli korzystasz z jakiejkolwiek usługi, która może działać na infrastrukturze GMO Internet, zmień tam hasło, a także wszędzie, gdzie go używałeś ponownie. Używaj unikalnego hasła do każdego konta, najlepiej z menedżera haseł.
  2. Włącz uwierzytelnianie dwuskładnikowe. Nawet jeśli hasło wycieknie, drugi składnik znacznie utrudnia komuś zalogowanie się. Aplikacje uwierzytelniające lub klucze sprzętowe są zazwyczaj silniejsze niż wiadomości tekstowe.
  3. Uważaj na powiadomienia o naruszeniach. Sprawdzaj e-maile od swoich dostawców i wszelkich używanych usług i czytaj je uważnie. Wchodź bezpośrednio na oficjalną stronę firmy, zamiast klikać linki w nieoczekiwanych wiadomościach, ponieważ wieści o naruszeniach często wywołują phishing.
  4. Szyfruj wrażliwe dane przed ich przesłaniem. Jeśli pliki są zaszyfrowane na twoim urządzeniu kluczami, które posiadasz tylko ty, naruszenie po stronie dostawcy ujawnia zaszyfrowane dane, a nie czytelne dokumenty. To najtrwalsza ochrona przed hostem, którego nie możesz skontrolować.
  5. Przejrzyj, co przechowujesz. Usuń dane, których już nie potrzebujesz, z serwerów stron trzecich. Informacje, których tam nie ma, nie mogą zostać skradzione.
  6. Monitoruj swoje konta. W nadchodzących tygodniach obserwuj wyciągi finansowe i alerty logowania pod kątem nietypowej aktywności.

Co to oznacza dla ciebie

Jeśli jesteś bezpośrednim klientem GMO Internet, uważaj na oficjalną komunikację od firmy i postępuj zgodnie z jej wskazówkami. Jeśli prowadzisz firmę, sprawdź, które z twoich systemów i dostawców polegają na dotkniętej infrastrukturze, i zapytaj ich bezpośrednio, czy są objęci zakresem.

Jeśli jesteś zwykłym użytkownikiem, który nie ma pojęcia, czy jest zaangażowany, najbezpieczniejszym założeniem jest po prostu potraktowanie tego jako bodźca do poprawy swoich nawyków. VPN nie rozwiązuje naruszenia po stronie dostawcy, ponieważ dane zostały ujawnione na serwerze, a nie w transitcie. Silne, unikalne hasła, uwierzytelnianie dwuskładnikowe i szyfrowanie tego, co przechowujesz, pomagają w tym przypadku.

Najważniejsze wnioski

Ujawnienie okupu związanego z naruszeniem chmury GMO Internet pozostawia wiele pytań bez odpowiedzi: jak atakujący weszli, co zabrano i ilu klientów jest naprawdę dotkniętych. To, co jest oficjalnie potwierdzone, to żądanie 50 milionów dolarów, deklarowana odmowa zapłaty i potencjalny zasięg do 26 739 serwerów.

Gdy fakty wychodzą na jaw, działaj w tym, co możesz kontrolować. Zmień hasła, włącz uwierzytelnianie dwuskładnikowe, czytaj powiadomienia o naruszeniach od swoich dostawców, gdy nadejdą, i szyfruj wrażliwe pliki, zanim trafią na serwery kogokolwiek innego. Te kroki ograniczają szkody z tego incydentu i z następnego.