Η παραβίαση κωδικού πρόσβασης GoDaddy επηρεάζει πάνω από ένα εκατομμύριο χρήστες

Η Επιτροπή Κεφαλαιαγοράς των ΗΠΑ (SEC) δημοσίευσε ένα «Περιστατικό ασφαλείας» που υπέβαλε ο γίγαντας των διαδικτυακών υπηρεσιών GoDaddy . Η GoDaddy αναφέρει ότι τον Νοέμβριο του 2021, συνειδητοποίησε ότι υπήρχαν κυβερνοεγκληματίες στο δίκτυό της, τους έδιωξε, προσπάθησε να προσδιορίσει πότε εισέβαλαν οι χάκερ και τι κατάφεραν να κάνουν ενώ βρίσκονταν στο εσωτερικό.

Τι συνέβη?

Σύμφωνα με την GoDaddy, οι χάκερ είχαν τα εξής:

• Ενεργή πρόσβαση από τις αρχές Σεπτεμβρίου 2021, ένα χρονικό περιθώριο δέκα εβδομάδων.
• Αποκτηθείσες διευθύνσεις ηλεκτρονικού ταχυδρομείου και αριθμοί πελατών από 1,200,000 πελάτες του Managed WordPress (MWP).
• Αποκτήθηκε πρόσβαση σε όλα τα ενεργά ονόματα χρήστη και κωδικούς πρόσβασης του MWP για βάσεις δεδομένων sFTP (ασφαλές FTP) και WordPress.
• Αποκτήθηκε πρόσβαση σε ιδιωτικά κλειδιά SSL/TLS που ανήκουν σε ορισμένους χρήστες του MWP. (Η έκθεση αναφέρει «ένα υποσύνολο ενεργών χρηστών», χωρίς να αναφέρεται εκτιμώμενος αριθμός)

Η GoDaddy δήλωσε επίσης ότι έγινε πρόσβαση και στους προεπιλεγμένους κωδικούς πρόσβασης διαχειριστή WordPress που δημιουργούνταν κατά το άνοιγμα κάθε λογαριασμού. Η CyberHoot ελπίζει ότι λίγοι, αν όχι καθόλου, ενεργοί χρήστες άφησαν αυτόν τον κωδικό πρόσβασης αμετάβλητο μετά τη δημιουργία του λογαριασμού τους στο WordPress.

Η διατύπωση της GoDaddy αναφέρει ότι «οι κωδικοί πρόσβασης sFTP […] εκτέθηκαν» , γεγονός που δίνει την εντύπωση ότι αυτοί οι κωδικοί πρόσβασης είχαν αποθηκευτεί σε μορφή απλού κειμένου. Εάν οι κωδικοί πρόσβασης είχαν αλατιστεί, κατακερματιστεί και επεκταθεί , η GoDaddy δεν θα χρειαζόταν να αναφέρει την αποκάλυψη αυτών των κωδικών πρόσβασης. Οι σωστά κατακερματισμένοι κωδικοί πρόσβασης, αφού κλαπούν, δεν μπορούν εύκολα να παραβιαστούν από εισβολείς. Ένας καλά επιλεγμένος κωδικός πρόσβασης, σωστά αλατισμένος, κατακερματισμένος και επεκταμένος, μπορεί να χρειαστεί χρόνια για να παραβιαστεί (με τον τρέχοντα υπολογιστικό εξοπλισμό) και μπορεί να επιχειρηθεί μόνο ένας κωδικός πρόσβασης κάθε φορά.

Οι ερευνητές της WordFence , μιας εταιρείας που επικεντρώνεται στην ασφάλεια του WordPress, λένε ότι μπόρεσαν να διαβάσουν τον δικό τους κωδικό πρόσβασης sFTP μέσω του επίσημου περιβάλλοντος χρήστη του MWP, κάτι που δεν θα έπρεπε να ήταν δυνατό εάν οι κωδικοί πρόσβασης ήταν αποθηκευμένοι σε «μη αναστρέψιμη» κατακερματισμένη μορφή.

Τι τώρα;

Η GoDaddy έχει πλέον επαναφέρει όλους τους επηρεαζόμενους κωδικούς πρόσβασης και αναφέρει ότι βρίσκεται στη διαδικασία αντικατάστασης όλων των πιθανώς κλεμμένων πιστοποιητικών ιστού με νέα. Η GoDaddy βρίσκεται επίσης στη διαδικασία επικοινωνίας με όσο το δυνατόν περισσότερους από τους 1,200,000 χρήστες που επηρεάστηκαν, κάτι που αποτελεί μια χρήσιμη κίνηση για τους πελάτες της, δεδομένου ότι αυτό είναι γνωστό μόνο εδώ και λίγες ημέρες. 

Ωστόσο, δέκα εβδομάδες πριν εντοπιστούν, οι εγκληματίες σε αυτήν την επίθεση θα μπορούσαν να χρησιμοποιήσουν τους παραβιασμένους κωδικούς πρόσβασης sFTP και τα πιστοποιητικά ιστού για να πραγματοποιήσουν περαιτέρω εκμεταλλεύσεις εναντίον χρηστών του MWP. Συγκεκριμένα, οι απατεώνες που γνωρίζουν τον κωδικό πρόσβασης sFTP σας θα μπορούσαν, θεωρητικά, όχι μόνο να κατεβάσουν τα αρχεία που αποτελούν τον ιστότοπό σας, κλέβοντας το βασικό σας περιεχόμενο, αλλά και να ανεβάσουν μη εξουσιοδοτημένες προσθήκες στον ιστότοπο.

Αυτές οι μη εξουσιοδοτημένες προσθήκες ιστότοπων θα μπορούσαν να περιλαμβάνουν:

• Πρόσθετα WordPress με κρυφή πόρτα για να αφήσετε τους απατεώνες να ξαναμπούν κρυφά ακόμα και μετά την αλλαγή των κωδικών πρόσβασής σας.
• Ψεύτικες ειδήσεις που θα μπορούσαν να θέσουν σε αμηχανία την επιχείρησή σας αν οι πελάτες το συναντούσαν.
• Κακόβουλο λογισμικό που στοχεύει άμεσα τον ιστότοπό σας, όπως η εξόρυξη κρυπτονομισμάτων ή ο κώδικας κλοπής δεδομένων που έχει σχεδιαστεί για να εκτελείται απευθείας στον διακομιστή.
• Κακόβουλο λογισμικό που στοχεύει τους επισκέπτες του ιστότοπού σας, όπως κακόβουλο λογισμικό ζόμπι που θα προβληθεί ως μέρος μιας απάτης ηλεκτρονικού "ψαρέματος" (phishing).

Επίσης, απατεώνες με ένα αντίγραφο του ιδιωτικού κλειδιού SSL/TLS σας θα μπορούσαν να δημιουργήσουν έναν ψεύτικο ιστότοπο αλλού, όπως μια επενδυτική απάτη ή έναν διακομιστή ηλεκτρονικού "ψαρέματος" (phishing), που όχι μόνο ισχυριζόταν ότι ήταν ο ιστότοπός σας, αλλά και "απέδειξε" ενεργά ότι ήταν δικός σας χρησιμοποιώντας το δικό σας πιστοποιητικό ιστού.

Τι να κάνω?

Ενώ υπάρχουν πολλά πράγματα που μπορείτε να κάνετε για να μην πέσετε θύμα σε τέτοιες καταστάσεις, οι ακόλουθες ενέργειες είναι τα πρώτα έξυπνα βήματα που πρέπει να κάνετε εάν πιστεύετε ότι εσείς ή η επιχείρησή σας μπορεί να έχετε εμπλακεί σε αυτήν την παραβίαση:

• Αντικαταστήστε το πιστοποιητικό SSL σας το συντομότερο δυνατό.  Ενώ η GoDaddy επικοινωνεί επίσημα για να το κάνει αυτό, φροντίστε να το θέσετε ως ύψιστη προτεραιότητα όταν επικοινωνήσουμε μαζί σας. Εάν δεν επικοινωνήσουμε μαζί τους, επικοινωνήστε μαζί τους για να υποβάλετε ένα αίτημα ζητώντας κάτι τέτοιο.
• Εάν δεν χρησιμοποιείτε Διαχειριστή κωδικών πρόσβασης στην επιχείρησή σας, Ενημερώστε τους χρήστες του WordPress για αυτήν την παραβίαση του κωδικού πρόσβασης sFTP τουςΠιθανότατα θα επαναχρησιμοποιούν αυτόν τον κωδικό πρόσβασης αλλού και θα πρέπει να τον αλλάξουν αμέσως όπου χρησιμοποιήθηκε. Αυτή είναι μια ΙΔΑΝΙΚΗ στιγμή για να υιοθετήσετε έναν διαχειριστή κωδικών πρόσβασης για τους χρήστες σας.
• Προσέξτε για τυχόν επικοινωνία από την GoDaddy σχετικά με το περιστατικό. Ελέγξτε ότι τα στοιχεία επικοινωνίας σας είναι σωστά, ώστε εάν η εταιρεία χρειαστεί να σας στείλει ένα email, να το λάβετε σίγουρα.
• Ενεργοποιήστε το 2FA αν δεν το έχετε κάνει ήδη. Σε αυτήν την περίπτωση, οι εισβολείς προφανώς παραβίασαν την ασφάλεια χρησιμοποιώντας ένα θέμα ευπάθειας, αλλά η επιστροφή στους λογαριασμούς των χρηστών αργότερα χρησιμοποιώντας κωδικούς πρόσβασης που έχουν εξαχθεί είναι πολύ πιο δύσκολη εάν ο κωδικός πρόσβασης από μόνος του δεν επαρκεί για την ολοκλήρωση της διαδικασίας ελέγχου ταυτότητας.
• Ελέγξτε όλα τα αρχεία στον ιστότοπό σας, ειδικά αυτά που βρίσκονται στους καταλόγους plugin και theme του WordPress. Ανεβάζοντας πρόσθετα που έχουν παγιδευτεί, οι εισβολείς ενδέχεται να μπορέσουν να ανακτήσουν τον λογαριασμό σας αργότερα, ακόμα και μετά την επιδιόρθωση όλων των αρχικών κενών και την αλλαγή των κλεμμένων κωδικών πρόσβασης.
• Ελέγξτε όλους τους λογαριασμούς στον ιστότοπό σας. Ένα άλλο δημοφιλές κόλπο των κυβερνοεγκληματιών είναι η δημιουργία ενός ή περισσότερων νέων λογαριασμών, συχνά χρησιμοποιώντας ονόματα χρήστη που έχουν επιλεγεί προσεκτικά ώστε να ταιριάζουν με τα υπάρχοντα ονόματα στον ιστότοπό σας, ως τρόπο για να ξαναπροσπελάσουν αργότερα.
• Να είστε προσεκτικοί με οποιονδήποτε επικοινωνήσει μαζί σας ξαφνικά και σας προσφέρει να σας «βοηθήσει» να καθαρίσετε. Οι επιτιθέμενοι σε αυτήν την περίπτωση διέφυγαν με διευθύνσεις email όλων των χρηστών που επηρεάστηκαν, επομένως αυτές οι «προσφορές» θα μπορούσαν να προέρχονται απευθείας από αυτούς ή από οποιονδήποτε άλλο κυβερνοαπατεώνα που κυνηγάει ασθενοφόρα και γνωρίζει ή μαντεύει ότι είστε χρήστης του MWP.

Πρόσθετες συστάσεις για την κυβερνοασφάλεια

Εκτός από αυτές τις προστασίες, η CyberHoot συνιστά επίσης στις επιχειρήσεις να ακολουθήσουν τα ακόλουθα βήματα για να ασφαλίσουν την επιχείρησή τους. Αυτά τα μέτρα παρέχουν μεγάλη αξία για την επένδυση κόστους και χρόνου που απαιτούν (ειδικά όταν παρέχονται μέσω της CyberHoot).

1. Ελέγχετε τους εργαζομένους με πολιτικές και διαδικασίες. Χρειάζεστε τουλάχιστον μια πολιτική κωδικών πρόσβασης, μια πολιτική αποδεκτής χρήσης, μια πολιτική χειρισμού πληροφοριών και ένα γραπτό πρόγραμμα ασφάλειας πληροφοριών (WISP).
2. Εκπαίδευση των εργαζομένων σχετικά με τον τρόπο εντοπισμού και αποφυγής επιθέσεις ηλεκτρονικού ψαρέματοςΥιοθετήστε ένα σύστημα Διαχείρισης Μάθησης όπως το CyberHoot για να διδάξετε στους υπαλλήλους τις δεξιότητες που χρειάζονται για να είναι πιο σίγουροι, παραγωγικοί και ασφαλείς.
3. Δοκιμάστε τους υπαλλήλους με επιθέσεις ηλεκτρονικού "ψαρέματος" (phishing) για εξάσκηση. Οι δοκιμές ηλεκτρονικού "ψαρέματος" (phishing) της CyberHoot επιτρέπουν στις επιχειρήσεις να δοκιμάζουν τους υπαλλήλους με αξιόπιστες επιθέσεις ηλεκτρονικού "ψαρέματος" (phishing) και να υποβάλλουν όσους αποτυγχάνουν σε διορθωτική εκπαίδευση για το ηλεκτρονικό "ψάρεμα" (rejuvenate phishing).
4. Ανάπτυξη κρίσιμης τεχνολογίας κυβερνοασφάλειας, συμπεριλαμβανομένων έλεγχος ταυτότητας δύο παραγόντων σε όλους τους κρίσιμους λογαριασμούς. Ενεργοποίηση φιλτραρίσματος ανεπιθύμητης αλληλογραφίας μέσω email, επικύρωση αντιγράφων ασφαλείας, ανάπτυξη προστασίας DNS, προστασίας από ιούςκαι anti-malware σε όλα τα τερματικά σας σημεία.
5. Στη σύγχρονη εποχή της εργασίας από το σπίτι, βεβαιωθείτε ότι διαχειρίζεστε τις προσωπικές συσκευές που συνδέονται στο δίκτυό σας επικυρώνοντας την ασφάλειά τους (επιδιορθώσεις, antivirus, προστασία DNS κ.λπ.) ή απαγορεύοντας εντελώς τη χρήση τους.
6. Εάν δεν έχετε λάβει αξιολόγηση κινδύνου από τρίτο μέρος τα τελευταία 3 χρόνια, θα πρέπει να έχετε μια τώρα. Η δημιουργία ενός πλαισίου διαχείρισης κινδύνου στον οργανισμό σας είναι κρίσιμη για την αντιμετώπιση των πιο σοβαρών κινδύνων σας με τον περιορισμένο χρόνο και τα χρήματά σας.
7. Αγοράστε Κυβερνοασφάλιση για να σας προστατεύσει σε μια καταστροφική κατάσταση βλάβης. Η Κυβερνοασφάλιση δεν διαφέρει από την ασφάλεια αυτοκινήτου, πυρκαγιάς, πλημμύρας ή ζωής. Είναι εκεί όταν τη χρειάζεστε περισσότερο.

Οι περισσότερες από αυτές τις συστάσεις είναι ενσωματωμένες στο CyberHoot. Με το CyberHoot μπορείτε να διαχειρίζεστε, να εκπαιδεύετε, να αξιολογείτε και να ελέγχετε τους υπαλλήλους σας. Επισκεφθείτε το CyberHoot.com και εγγραφείτε στις υπηρεσίες μας σήμερα. Τουλάχιστον, συνεχίστε να μαθαίνετε εγγραφόμενοι στα μηνιαία ενημερωτικά δελτία μας για την κυβερνοασφάλεια , ώστε να παραμένετε ενημερωμένοι για τις τρέχουσες ενημερώσεις στον κυβερνοχώρο.

Για να μάθετε περισσότερα σχετικά με την παραβίαση της GoDaddy, παρακολουθήστε αυτό το σύντομο βίντεο 3 λεπτών:

Πηγές:

NakedSecurity – Sophos 

Ενημέρωση ασφαλείας SEC

Επιπλέον αναγνώσεις: 

Η παραβίαση της GoDaddy αποκαλύπτει κλειδιά SSL πελατών διαχειριζόμενης φιλοξενίας WordPress

Η παραβίαση δεδομένων GoDaddy πλήττει 1.2 εκατομμύρια πελάτες του Managed WordPress

Μάθετε πώς η CyberHoot μπορεί να ασφαλίσει την επιχείρησή σας.

Προγραμματίστε μια επίδειξη