Хакери почали досліджувати хмарну компанію Railway у неділю ввечері в середині жовтня, реєструючи тисячі акаунтів. За кілька днів вони викрали активи вартістю понад $1,1 млн. Згідно з репортажем The Currency, більша частина здобичі не надійшла від криптовалюти, і операція не стосувалася вимагання чи програм-вимагачів. Цей випадок є яскравим прикладом того, чому безпека хмарних акаунтів і крадіжка обчислювальних потужностей ШІ заслуговують на увагу кожного, хто має обліковий запис розробника або хмари.

Як розгорталася атака на Railway

Оприлюднена хронологія коротка. Дослідження почалося у неділю ввечері в середині жовтня, і першим помітним кроком стала хвиля реєстрацій акаунтів — тисячі їх. За кілька днів зловмисники захопили активи вартістю понад $1,1 млн.

Дві деталі вирізняються. По-перше, зловмисники діяли в масштабі з самого початку, масово створюючи акаунти, а не націлюючись на одного клієнта з високою цінністю. По-друге, не було ні записки з вимогою викупу, ні погрози витоку даних. Мета, схоже, була простою: взяти щось цінне та використати або продати.

Доступні нам частини статті не описують кожен технічний крок, тому краще не будувати здогадок про те, як саме акаунти перетворилися на $1,1 млн. Зрозумілим є результат і схема.

Чому обчислювальні потужності ШІ — нова ціль

Роками хрестоматійна історія зловживання хмарою стосувалася майнінгу криптовалют. Зловмисники захоплювали сервери й спалювали чужі рахунки за електроенергію, щоб карбувати монети. Випадок Railway вказує на інше: більшість викраденого взагалі не була криптовалютою, а обчислювальними потужностями ШІ.

Це логічно, якщо врахувати економіку. Обчислювальні потужності, особливо ті, що використовуються для робочих навантажень ШІ, дорогі та затребувані. На відміну від бази викрадених записів, їх не потрібно продавати на форумі даркнету чи використовувати проти жертви. Їх можна просто використати або перепродати, а рахунок отримає хтось інший.

Це також змінює те, що вважається цінним акаунтом. Логін до хмарної платформи більше не є просто дверима до збережених файлів. Це двері до вимірюваного ресурсу, який можна конвертувати в гроші. Та сама логіка стосується атак на криптоплатформи, як-от злом Liquid Network, де зловмисники залишили собі $47 млн із $320 млн здобичі. В обох випадках ціллю є щось, що можна безпосередньо монетизувати, хоча випадок Railway показує, що здобиччю більше не обов'язково мають бути монети.

Що цей злом виявляє про реєстрацію в хмарі та безпеку облікових даних

Найпомітніша особливість атаки — її відправна точка: тисячі щойно створених акаунтів. Це свідчить про те, що вхідні двері хмарного сервісу, процес реєстрації, є частиною поверхні атаки, а не лише сторінка входу, яку використовують наявні клієнти.

Для платформ це порушує питання про те, наскільки легко можна масово створювати акаунти і як швидко помічаються незвичайні патерни. Для окремих користувачів і невеликих команд урок інший, але пов'язаний: усе, що надає доступ до обчислень, є ціллю — чи то пароль, API-ключ, чи збережений токен.

Облікові дані зазвичай викрадають задовго до того, як їх використовують. Фішингові сторінки, шкідливе програмне забезпечення та скомпрометовані мережі живлять цей потік. Попередження Microsoft про російських хакерів, які використовують Wi-Fi мережі готелів для крадіжки облікових даних Microsoft 365 показує один зі способів, якими звичайні логіни потрапляють до рук зловмисників. Щойно облікові дані опиняються назовні, хмарний акаунт із прив'язаним способом оплати може стати джерелом обчислень, за які платить хтось інший.

Що це означає для вас

Вам не потрібно бути клієнтом Railway, щоб це мало значення. Якщо ви ведете побічні проєкти, розміщуєте застосунки, тренуєте моделі або зберігаєте API-ключі для будь-якого хмарного чи ШІ-сервісу, у вас є те, що зловмисник може перетворити на гроші.

Ризик переважно фінансовий та операційний. Викрадені обчислення можуть означати неочікувані рахунки, заблоковані акаунти або перешкоди вашій власній роботі. На відміну від витоку даних, збиток може спершу проявитися як дивний рядок у рахунку, а не як попередження.

Добра новина в тому, що базові засоби захисту добре відомі, і більшість із них налаштовується за хвилини.

Як захистити свої хмарні акаунти та API-ключі

  • Увімкніть багатофакторну автентифікацію всюди. Насамперед для хмарних платформ, репозиторіїв коду та облікових записів електронної пошти, які можуть скидати ваші паролі.
  • Використовуйте унікальні паролі. Менеджер паролів робить це практичним і обмежує збиток, якщо один сервіс скомпрометовано.
  • Регулярно змінюйте API-ключі. Замінюйте ключі за графіком і негайно, якщо якийсь із них міг бути викритий. Видаляйте ключі, які ви більше не використовуєте.
  • Тримайте секрети поза кодом. Уникайте вставляння ключів у публічні репозиторії, спільні документи чи повідомлення в чатах.
  • Налаштуйте сповіщення про оплату та використання. Ліміти витрат і повідомлення про незвичайну активність часто є найранішим попередженням про те, що обчислення використовує хтось інший.
  • Обмежуйте дозволи. Надавайте кожному ключу чи користувачу лише той доступ, який потрібен для його завдання.
  • Будьте обережні в ненадійних мережах. Публічний Wi-Fi у готелях, аеропортах і кафе — часте місце для перехоплення або фішингу облікових даних.

Висновок: перевірте свої хмарні акаунти цього тижня

Інцидент із Railway — нагадування про те, що безпека хмарних акаунтів і крадіжка обчислювальних потужностей ШІ є практичною, монетизованою загрозою, і зловмисники готові реєструвати тисячі акаунтів заради неї. Виділіть пів години, щоб переглянути свої хмарні акаунти та акаунти розробника: переконайтеся, що багатофакторна автентифікація увімкнена, змініть старі API-ключі та ввімкніть сповіщення про використання й оплату. Якщо ви подорожуєте у справах, прочитайте, як дані для входу викрадають через готельний Wi-Fi, щоб зрозуміти, як облікові дані взагалі залишають ваші руки. Невеликий аудит зараз значно дешевший за рахунок, який ви не накопичували.