La Comisión de Bolsa y Valores de Estados Unidos (SEC) ha publicado un "Incidente de Seguridad" presentado por el gigante de los servicios web, GoDaddy . GoDaddy afirma que en noviembre de 2021 se percató de la presencia de ciberdelincuentes en su red, los expulsó, intentó determinar cuándo habían accedido los piratas informáticos y qué habían logrado hacer una vez dentro.
¿Que pasó?
Según GoDaddy, los piratas informáticos tenían lo siguiente:
Acceso activo desde principios de septiembre de 2021, una ventana de diez semanas.
Direcciones de correo electrónico y números de clientes adquiridos de 1,200,000 clientes de WordPress administrado (MWP).
Obtuve acceso a todos los nombres de usuario y contraseñas activos de MWP para sFTP (FTP seguro) y bases de datos de WordPress.
Obtuvo acceso a claves privadas SSL/TLS pertenecientes a algunos usuarios de MWP. (El informe dice “un subconjunto de usuarios activos”, sin indicar un número estimado)
GoDaddy también afirmó que se accedió a las contraseñas de administrador de WordPress predeterminadas , creadas al abrir cada cuenta. CyberHoot espera que pocos usuarios activos, si es que alguno, hayan dejado esta contraseña sin modificar tras configurar su cuenta de WordPress.
La declaración de GoDaddy indica que “las contraseñas de sFTP […] quedaron expuestas” , lo que da a entender que dichas contraseñas se almacenaron en texto plano. Si las contraseñas hubieran sido cifradas con sal, hash y extendidas , GoDaddy no habría tenido que informar sobre la exposición de estas contraseñas. Las contraseñas cifradas correctamente, una vez robadas, no pueden ser descifradas fácilmente por los atacantes. Una contraseña bien elegida, cifrada con sal, hash y extendida correctamente, puede tardar años en descifrarse (con los equipos informáticos actuales) y solo se puede intentar de una en una.
GoDaddy ya ha restablecido todas las contraseñas afectadas y afirma estar reemplazando todos los certificados web potencialmente robados por otros nuevos. GoDaddy también está contactando al mayor número posible de los 1,200,000 usuarios afectados, lo cual es una medida muy útil para sus clientes, considerando que solo se conoce desde hace unos días.
Sin embargo, con diez semanas de antelación antes de ser detectados, los delincuentes de este ataque podrían haber usado las contraseñas SFTP y los certificados web comprometidos para realizar más ataques contra los usuarios de MWP. En particular, quienes conozcan su contraseña SFTP podrían, en teoría, no solo descargar los archivos que componen su sitio web, robando su contenido principal, sino también subir contenido no autorizado.
Esas adiciones no autorizadas a sitios web podrían incluir:
Plugins de WordPress con puerta trasera para permitir que los delincuentes vuelvan a entrar incluso después de haber cambiado sus contraseñas.
Noticias falsas que avergonzarían a su negocio Si los clientes lo encontraran.
Malware que ataca directamente a su sitio, como la minería de criptomonedas o el código de robo de datos diseñado para ejecutarse directamente en el servidor.
Malware dirigido a los visitantes de su sitio, como malware zombie que se distribuye como parte de una estafa de phishing.
Además, los delincuentes con una copia de su clave privada SSL/TLS podrían crear un sitio falso en otro lugar, como una estafa de inversión o un servidor de phishing, que no solo afirma ser su sitio, sino que también "demuestra" activamente que es suyo al usar su propio certificado web.
¿Qué hacer?
Si bien hay muchas cosas que puede hacer para no ser víctima de situaciones como estas, las siguientes acciones son los primeros pasos inteligentes que puede tomar si cree que usted o su empresa pueden haber estado involucrados en esta violación:
Reemplace su certificado SSL lo antes posible. Aunque GoDaddy se está comunicando formalmente para hacerlo, asegúrese de priorizarlo cuando se comuniquen con usted. Si no lo hacen, comuníquese con ellos para abrir un ticket solicitando esto.
Si no utiliza un administrador de contraseñas en su empresa, Informar a los usuarios de WordPress sobre esta violación de su contraseña SFTPProbablemente reutilicen esa contraseña en otro lugar y deberían cambiarla inmediatamente dondequiera que se haya usado. Este es un excelente momento para adoptar un administrador de contraseñas para sus usuarios.
Esté atento a los contactos de GoDaddy sobre el incidente. Comprueba que tus datos de contacto sean correctos para que si la empresa necesita enviarte un correo electrónico, lo recibas con seguridad.
Activa la 2FA si aún no lo has hecho. En este caso, los atacantes aparentemente violaron la seguridad usando una vulnerabilidad, pero regresar a las cuentas de los usuarios más tarde usando contraseñas exfiltradas es mucho más difícil si la contraseña por sí sola no es suficiente para completar el proceso de autenticación.
Revise todos los archivos de su sitio, especialmente aquellos en los directorios de complementos y temas de WordPress. Al cargar complementos con trampas, los atacantes podrán volver a ingresar a su cuenta más tarde, incluso después de que se hayan reparado todos los agujeros originales y se hayan cambiado las contraseñas robadas.
Revise todas las cuentas en su sitio. Otro truco popular entre los cibercriminales es crear una o más cuentas nuevas, a menudo usando nombres de usuario cuidadosamente elegidos para que coincidan con los nombres existentes en el sitio, como una forma de volver a ingresar más tarde.
Tenga cuidado con cualquier persona que se comunique con usted de repente y se ofrezca a “ayudarlo” a limpiar. En este caso, los atacantes se hicieron con las direcciones de correo electrónico de todos los usuarios afectados, por lo que esas "ofertas" podrían provenir directamente de ellos o, incluso, de cualquier otro cibercriminal que ande detrás de una ambulancia y que sepa o adivine que usted es un usuario de MWP.
Recomendaciones adicionales de ciberseguridad
Además de estas protecciones, CyberHoot también recomienda a las empresas que tomen las siguientes medidas para proteger su negocio. Estas medidas ofrecen una excelente relación calidad-precio (especialmente cuando se implementan a través de CyberHoot).
Gestione a sus empleados con políticas y procedimientos. Necesita, como mínimo, una política de contraseñas, una política de uso aceptable, una política de gestión de la información y un programa de seguridad de la información (WISP) por escrito.
Capacite a los empleados sobre cómo detectar y evitar ataques de phishingAdopte un sistema de gestión del aprendizaje como CyberHoot para enseñar a los empleados las habilidades que necesitan para ser más seguros, productivos y confiados.
Pruebe a sus empleados con ataques de phishing para practicar. Las pruebas de phishing de CyberHoot permiten a las empresas probar a sus empleados con ataques de phishing creíbles y capacitar a quienes no lo logran para corregirlos.
Implementar tecnología de ciberseguridad crítica que incluya autenticación de dos factores en todas las cuentas críticas. Habilite el filtrado de spam, valide las copias de seguridad e implemente la protección DNS. antivirusy anti-malware en todos sus puntos finales.
En la era moderna del trabajo desde casa, asegúrese de administrar los dispositivos personales que se conectan a su red validando su seguridad (parches, antivirus, protección de DNS, etc.) o prohibiendo su uso por completo.
Si no ha realizado una evaluación de riesgos por parte de un tercero en los últimos dos años, debería hacerlo ahora. Establecer un marco de gestión de riesgos en su organización es fundamental para abordar los riesgos más graves con el tiempo y el dinero limitados disponibles.
Contrate un seguro cibernético para protegerse en caso de una falla catastrófica. El seguro cibernético no es diferente a un seguro de auto, incendio, inundación o vida. Está ahí cuando más lo necesita.
La mayoría de estas recomendaciones están integradas en CyberHoot. Con CyberHoot, puede gestionar, capacitar, evaluar y poner a prueba a sus empleados. Visite CyberHoot.com y regístrese hoy mismo. Como mínimo, continúe aprendiendo suscribiéndose a nuestros boletines mensuales de ciberseguridad para mantenerse al día con las últimas novedades.
Para obtener más información sobre la violación de GoDaddy, mire este breve video de 3 minutos:
