История с требованием выкупа за взлом облака GMO Internet имеет заголовочную цифру: $50 млн. Согласно репортажу TokenPost, генеральный директор компании раскрыл, что злоумышленники потребовали эту сумму после взлома её облачной инфраструктуры, и что компания заявляет, что ничего не заплатила. Пострадать могли до 26 739 серверов.

Публичных подробностей пока мало. Тем не менее, этот случай — полезное напоминание о том, насколько клиенты хостинг- и облачных провайдеров зависят от безопасности, которую они не видят, и что они могут сделать, чтобы защитить себя в любом случае.

Что GMO Internet говорит о произошедшем

Основные утверждения из репортажа кратки. Генеральный директор GMO Internet заявил, что компания получила требование выкупа в размере $50 млн после взлома её облачной среды. Компания говорит, что не заплатила. Масштаб возможной подверженности — до 26 739 серверов.

Формулировки имеют значение. «До» и «могли» — это осторожные выражения. Они предполагают, что компания описывает максимально возможный масштаб, а не подтверждает, что к каждому из этих серверов был получен доступ или что с каждого были похищены данные. В имеющемся у нас исходном материале не говорится, как злоумышленники проникли внутрь, какие типы данных были затронуты или была ли какая-либо информация опубликована или продана.

Пока GMO Internet или независимые следователи не опубликуют больше, эти вопросы остаются открытыми. Мы не будем здесь строить догадки.

Кто может быть затронут утечкой серверов

Цифра в 26 739 серверов — это количество машин, а не людей. Один сервер у хостинг-провайдера может хранить данные одного клиента или многих, в зависимости от того, как настроен сервис. Это означает, что число затронутых частных лиц или компаний может быть меньше или больше, чем предполагает количество серверов.

На практике наибольшие основания обратить внимание есть у:

  • Клиентов, которые размещают веб-сайты, приложения или базы данных на облачных сервисах GMO Internet
  • Компаний, чьи поставщики хранят данные у этой компании
  • Конечных пользователей сайтов и сервисов, которые работают на инфраструктуре, возможно, попадающей в зону охвата

Последнюю группу сложнее всего определить. Многие люди пользуются услугами, размещёнными у провайдера, не зная, кто этот провайдер. Если компания, с которой вы имеете дело, затронута, уведомление может прийти от этой компании, а не от хостера.

Что взлом хостинг-провайдера означает для данных клиентов

Когда вы храните данные у облачного или хостинг-провайдера, вы доверяете нескольким уровням безопасности, которые вы не контролируете: сеть провайдера, его административный доступ, практики его сотрудников и его установку исправлений. Слабость в любом из них может одновременно exposemany клиентов — вот почему злоумышленники атакуют провайдеров, а не отдельные сайты.

Требование выкупа добавляет ещё одно измерение. Вымогательство такого рода обычно держится на угрозе, например, заблокировать системы или обнародовать украденные данные. В репортаже не уточняется, чем именно угрожали в данном случае, поэтому неясно, есть ли риск публикации клиентских данных или давление было направлено на операции.

Заявленный отказ компании платить примечателен. Специалисты по безопасности часто советуют не платить, поскольку оплата не гарантирует удаления данных или восстановления доступа и может поощрять дальнейшие атаки. Но отказ не устраняет риск для клиентов. Если данные были скопированы, они могут по-прежнему оставаться в руках злоумышленников, что бы компания ни решила.

Это ключевой момент для пользователей: решение провайдера о выкупе отделено от вопроса о том, в безопасности ли ваши данные. Вы можете повлиять на второе только тем, чтобы ограничить то, что взлом мог бы раскрыть в первую очередь.

Шаги, которые пользователи могут предпринять сейчас, чтобы ограничить подверженность

Вам не нужно ждать полного отчёта об инциденте, чтобы усилить собственную безопасность. Разумные шаги включают:

  1. Смените пароли. Если вы пользуетесь каким-либо сервисом, который может работать на инфраструктуре GMO Internet, смените там пароль, а также везде, где вы его повторно использовали. Используйте уникальный пароль для каждой учётной записи, в идеале — из менеджера паролей.
  2. Включите двухфакторную аутентификацию. Даже если пароль утечёт, второй фактор значительно затрудняет кому-либо вход. Приложения-аутентификаторы или аппаратные ключи, как правило, надёжнее текстовых сообщений.
  3. Следите за уведомлениями об утечках. Проверяйте электронную почту от ваших провайдеров и любых используемых сервисов и внимательно читайте её. Переходите напрямую на официальный сайт компании, а не по ссылкам в неожиданных сообщениях, поскольку новости об утечках часто провоцируют фишинг.
  4. Шифруйте конфиденциальные данные перед загрузкой. Если файлы зашифрованы на вашем устройстве ключами, которые есть только у вас, взлом на стороне провайдера раскроет перемешанные данные, а не читаемые документы. Это наиболее долговечная защита от хостера, которого вы не можете проверить.
  5. Пересмотрите, что вы храните. Удаляйте данные, которые больше не нужны, с серверов третьих сторон. Информация, которой там нет, не может быть украдена.
  6. Следите за своими учётными записями. Обращайте внимание на финансовые выписки и оповещения о входах на предмет необычной активности в ближайшие недели.

Что это значит для вас

Если вы являетесь прямым клиентом GMO Internet, следите за официальными сообщениями компании и следуйте её рекомендациям. Если вы владелец бизнеса, проверьте, какие из ваших систем и поставщиков зависят от затронутой инфраструктуры, и спросите их напрямую, попадают ли они в зону охвата.

Если вы обычный пользователь и понятия не имеете, затронуты ли вы, самое безопасное предположение — просто воспринять это как повод улучшить свои привычки. VPN не решает проблему взлома на стороне провайдера, потому что данные были раскрыты на сервере, а не при передаче. Здесь помогают надёжные уникальные пароли, двухфакторная аутентификация и шифрование того, что вы храните.

Ключевые выводы

Раскрытие требования выкупа за взлом облака GMO Internet оставляет многие вопросы без ответа: как злоумышленники проникли внутрь, что было похищено и сколько клиентов действительно затронуто. Что зафиксировано — это требование $50 млн, заявленный отказ платить и потенциальный масштаб до 26 739 серверов.

Пока факты проясняются, действуйте в том, что вы можете контролировать. Смените пароли, включите двухфакторную аутентификацию, читайте уведомления об утечках от ваших провайдеров, когда они приходят, и шифруйте конфиденциальные файлы, прежде чем они попадут на чужие серверы. Эти шаги ограничивают ущерб от этого инцидента и от следующего.