Historien om lösensumman vid GMO Internets molnintrång har en rubriksiffra: 50 miljoner dollar. Enligt rapportering från TokenPost har företagets VD uppgett att angriparna krävde den summan efter ett intrång i företagets molninfrastruktur, och att företaget säger sig inte ha betalat något. Upp till 26 739 servrar kan ha påverkats.
De offentliga detaljerna är ännu så länge knapphändiga. Ändå är fallet en nyttig påminnelse om hur mycket kunder hos webbhotell och molnleverantörer förlitar sig på säkerhet de inte kan se, och vad de kan göra för att skydda sig ändå.
Vad GMO Internet säger har hänt
Kärnpåståendena i rapporteringen är korta. GMO Internets VD har sagt att företaget mottog ett lösenkrav på 50 miljoner dollar efter ett intrång i dess molnmiljö. Företaget säger sig inte ha betalat. Omfattningen av den möjliga exponeringen är upp till 26 739 servrar.
Formuleringarna spelar roll. "Upp till" och "kan ha" är försiktiga formuleringar. De antyder att företaget beskriver den maximala potentiella omfattningen snarare än bekräftar att var och en av dessa servrar har nåtts eller att data har tagits från var och en. Källmaterialet vi har säger inte hur angriparna tog sig in, vilken typ av data som var inblandad, eller huruvida någon information har publicerats eller sålts.
Tills GMO Internet eller oberoende utredare släpper mer information förblir dessa frågor öppna. Vi kommer inte att gissa oss till dem här.
Vilka som kan påverkas av serverexponeringen
Siffran 26 739 servrar är en räkning av maskiner, inte människor. En enskild server hos en webbhotellsleverantör kan lagra data för en kund eller för många, beroende på hur tjänsten är uppsatt. Det innebär att antalet påverkade individer eller företag kan vara mindre eller större än serverantalet antyder.
I praktiska termer är de personer som har mest anledning att vara uppmärksamma:
- Kunder som driver webbplatser, applikationer eller databaser på GMO Internets molntjänster
- Företag vars leverantörer lagrar data hos företaget
- Slutanvändare av webbplatser och tjänster som ligger på infrastruktur som kan vara inom omfattningen
Den sista gruppen är svårast att identifiera. Många människor använder tjänster som ligger hos en leverantör utan att veta vem leverantören är. Om ett företag du har att göra med påverkas kan meddelandet komma från det företaget snarare än från värden.
Vad ett intrång hos en webbhotellsleverantör innebär för kunddata
När du lagrar data hos en moln- eller webbhotellsleverantör anförtror du dig åt flera lager av säkerhet som du inte kontrollerar: leverantörens nätverk, dess administrativa åtkomst, dess personalpraxis och dess patchning. En svaghet i något av dessa kan exponera många kunder samtidigt, vilket är anledningen till att angripare riktar in sig på leverantörer snarare än enskilda webbplatser.
Ett lösenkrav tillför ännu en dimension. Utpressning av detta slag hänger vanligtvis på ett hot, såsom att låsa system eller släppa stulen data. Rapporteringen specificerar inte vilket som hotades här, så det är inte klart huruvida kunddata riskerar att publiceras eller huruvida pressen riktades mot verksamheten.
Företagets uttalade vägran att betala är anmärkningsvärd. Säkerhetsexperter avråder ofta från att betala, eftersom betalning inte garanterar att data raderas eller åtkomst återställs, och det kan uppmuntra till ytterligare attacker. Men att vägra suddar inte ut risken för kunderna. Om data kopierades kan den fortfarande vara i angriparnas händer oavsett vad företaget beslutar.
Detta är den viktigaste poängen för användare: en leverantörs beslut om en lösensumma är separat från frågan om huruvida din data är säker. Du kan bara kontrollera det andra genom att begränsa vad ett intrång skulle kunna avslöja från första början.
Åtgärder användare kan vidta nu för att begränsa exponeringen
Du behöver inte vänta på en fullständig incidentrapport för att skärpa din egen säkerhet. Rimliga åtgärder inkluderar:
- Byt lösenord. Om du använder någon tjänst som kan köras på GMO Internets infrastruktur, byt lösenord där, och överallt där du återanvänt det. Använd ett unikt lösenord för varje konto, helst från en lösenordshanterare.
- Aktivera tvåfaktorsautentisering. Även om ett lösenord läcker gör en andra faktor det mycket svårare för någon att logga in. Autentiseringsappar eller hårdvarunycklar är i allmänhet starkare än textmeddelanden.
- Håll utkik efter intrångsmeddelanden. Kontrollera e-post från dina leverantörer och alla tjänster du använder, och läs dem noggrant. Gå direkt till företagets officiella webbplats istället för att klicka på länkar i oväntade meddelanden, eftersom nyheter om intrång ofta utlöser nätfiske.
- Kryptera känslig data innan du laddar upp den. Om filer är krypterade på din enhet med nycklar som bara du har, exponerar ett intrång på leverantörssidan förvrängd data snarare än läsbara dokument. Detta är det mest varaktiga skyddet mot en värd du inte kan inspektera.
- Granska vad du lagrar. Radera data du inte längre behöver från tredjepartsservrar. Information som inte finns där kan inte stjälas.
- Övervaka dina konton. Håll ett öga på kontoutdrag och inloggningsvarningar för ovanlig aktivitet under de kommande veckorna.
Vad detta innebär för dig
Om du är direktkund hos GMO Internet, håll utkik efter officiell kommunikation från företaget och följ dess vägledning. Om du är företagare, kontrollera vilka av dina system och leverantörer som förlitar sig på den påverkade infrastrukturen och fråga dem direkt om de är inom omfattningen.
Om du är en vanlig användare utan en aning om huruvida du är inblandad, är det säkraste antagandet helt enkelt att behandla detta som en påminnelse om att förbättra dina vanor. En VPN löser inte ett intrång på leverantörssidan, eftersom data exponerades på servern, inte under överföring. Starka, unika lösenord, tvåfaktorsautentisering och kryptering av det du lagrar är det som hjälper här.
Viktiga slutsatser
Avslöjandet om lösensumman vid GMO Internets molnintrång lämnar många frågor obesvarade: hur angriparna tog sig in, vad som togs, och hur många kunder som verkligen påverkas. Det som är bekräftat är ett krav på 50 miljoner dollar, en uttalad vägran att betala, och ett potentiellt fotavtryck på upp till 26 739 servrar.
Medan fakta kommer fram, agera på det du kan kontrollera. Byt dina lösenord, aktivera tvåfaktorsautentisering, läs intrångsmeddelanden från dina leverantörer när de kommer, och kryptera känsliga filer innan de når någon annans servrar. Dessa åtgärder begränsar skadan från denna incident och från nästa.
