La violation de mot de passe de GoDaddy affecte plus d'un million d'utilisateurs

La Securities and Exchange Commission (SEC) américaine a publié un rapport d'incident de sécurité déposé par le géant des services web GoDaddy . GoDaddy indique qu'en novembre 2021, l'entreprise a constaté la présence de cybercriminels sur son réseau, les a expulsés et a tenté de déterminer la date d'intrusion et les actions menées par les pirates .

Qu'est-il arrivé?

Selon GoDaddy, les pirates avaient les éléments suivants :

• Accès actif depuis début septembre 2021, une fenêtre de dix semaines.
• Adresses e-mail et numéros de clients acquis de 1,200,000 XNUMX XNUMX clients Managed WordPress (MWP).
• Accès à tous les noms d'utilisateur et mots de passe MWP actifs pour les bases de données sFTP (FTP sécurisé) et WordPress.
• Accès aux clés privées SSL/TLS appartenant à certains utilisateurs de MWP. (Le rapport indique « un sous-ensemble d'utilisateurs actifs », sans indiquer de nombre estimé)

GoDaddy a également indiqué que les mots de passe d'administrateur WordPress par défaut, créés lors de l'ouverture de chaque compte, avaient également été consultés. CyberHoot espère que peu, voire aucun utilisateur actif, n'a conservé ce mot de passe inchangé après la création de son compte WordPress.

La formulation de GoDaddy indique que « les mots de passe sFTP […] ont été exposés » , ce qui laisse entendre qu'ils étaient stockés en clair. Si les mots de passe avaient été chiffrés, hachés et étendus , GoDaddy n'aurait pas eu à signaler leur divulgation. Une fois volés, les mots de passe correctement hachés sont extrêmement difficiles à déchiffrer. Un mot de passe bien choisi, correctement chiffré, haché et étendu, peut nécessiter des années de déchiffrement (avec le matériel informatique actuel) et ne peut être tenté qu'un mot de passe à la fois.

Des chercheurs de WordFence , une entreprise spécialisée dans la sécurité WordPress, affirment avoir pu lire leur propre mot de passe sFTP via l'interface utilisateur officielle de MWP, chose qui n'aurait pas dû être possible si les mots de passe étaient stockés sous une forme hachée « irréversible ».

Que faire maintenant?

GoDaddy a désormais réinitialisé tous les mots de passe concernés et indique être en train de remplacer tous les certificats web potentiellement volés par de nouveaux. GoDaddy contacte également le plus grand nombre possible d'utilisateurs concernés parmi les 1,200,000 XNUMX XNUMX, ce qui est une mesure utile pour ses clients, sachant que le problème n'est connu que depuis quelques jours. 

Cependant, dix semaines avant d'être repérés, les criminels impliqués dans cette attaque auraient pu utiliser les mots de passe sFTP et les certificats web compromis pour exploiter d'autres failles contre les utilisateurs de MWP. En particulier, les escrocs connaissant votre mot de passe sFTP pourraient, en théorie, non seulement télécharger les fichiers qui composent votre site et voler votre contenu principal, mais aussi y ajouter des ajouts non autorisés.

Ces ajouts non autorisés à des sites Web pourraient inclure :

• Plugins WordPress de type backdoor de laisser les escrocs s'infiltrer à nouveau même après avoir changé vos mots de passe.
• Des fausses nouvelles qui pourraient embarrasser votre entreprise si les clients venaient à le découvrir.
• Logiciels malveillants ciblant directement votre site, comme le minage de cryptomonnaies ou le code de vol de données conçu pour s'exécuter directement sur le serveur.
• Logiciels malveillants ciblant les visiteurs de votre site, comme des logiciels malveillants zombies qui seront diffusés dans le cadre d'une escroquerie par hameçonnage.

De plus, les escrocs possédant une copie de votre clé privée SSL/TLS pourraient créer un faux site ailleurs, comme une arnaque à l’investissement ou un serveur de phishing, qui non seulement prétendrait être votre site, mais « prouverait » également activement qu’il était le vôtre en utilisant votre propre certificat Web.

Que faire?

Bien qu’il existe de nombreuses mesures que vous pouvez prendre pour ne pas être victime de situations comme celles-ci, les actions suivantes sont des premières étapes judicieuses à suivre si vous pensez que vous ou votre entreprise avez pu être impliqués dans cette violation :

• Remplacez votre certificat SSL dès que possible.  Bien que GoDaddy soit officiellement en contact avec vous, assurez-vous d'en faire une priorité absolue lorsque vous serez contacté. Si vous n'êtes pas contacté, contactez-les pour créer un ticket.
• Si vous n’utilisez pas de gestionnaire de mots de passe dans votre entreprise, informez vos utilisateurs WordPress de cette violation de leur mot de passe sFTPIls réutiliseront probablement ce mot de passe ailleurs et devraient le modifier immédiatement, quel que soit l'endroit où il a été utilisé. C'est le moment idéal pour adopter un gestionnaire de mots de passe pour vos utilisateurs.
• Soyez attentif aux contacts de GoDaddy concernant l'incident. Vérifiez que vos coordonnées sont correctes afin que si l'entreprise doit vous envoyer un e-mail, vous le receviez certainement.
• Activez la 2FA si vous ne l’avez pas déjà fait. Dans ce cas, les attaquants ont apparemment violé la sécurité en utilisant une vulnérabilité, mais il est beaucoup plus difficile de revenir ultérieurement dans les comptes des utilisateurs en utilisant des mots de passe exfiltrés si le mot de passe seul ne suffit pas à terminer le processus d'authentification.
• Passez en revue tous les fichiers de votre site, en particulier ceux des répertoires de plugins et de thèmes WordPress. En téléchargeant des plugins piégés, les attaquants peuvent être en mesure de revenir sur votre compte plus tard, même après que toutes les failles d'origine ont été corrigées et que les mots de passe volés ont été modifiés.
• Passez en revue tous les comptes sur votre site. Une autre astuce populaire auprès des cybercriminels consiste à créer un ou plusieurs nouveaux comptes, souvent en utilisant des noms d’utilisateur soigneusement choisis pour correspondre aux noms existants sur votre site, afin de pouvoir revenir plus tard.
• Méfiez-vous de toute personne qui vous contacte à l’improviste et vous propose de vous « aider » à nettoyer. Dans ce cas, les attaquants ont dérobé les adresses e-mail de tous les utilisateurs concernés, de sorte que ces « offres » pourraient provenir directement d'eux, ou de tout autre cybercriminel en quête d'ambulance qui sait ou devine que vous êtes un utilisateur de MWP.

Recommandations supplémentaires en matière de cybersécurité

Outre ces protections, CyberHoot recommande également aux entreprises de prendre les mesures suivantes pour sécuriser leurs activités. Ces mesures offrent un excellent rapport qualité-prix compte tenu de l'investissement en temps et en argent qu'elles nécessitent (surtout lorsqu'elles sont déployées via CyberHoot).

1. Gérez vos employés avec des politiques et des procédures. Vous devez au minimum disposer d'une politique de mots de passe, d'une politique d'utilisation acceptable, d'une politique de traitement des informations et d'un programme écrit de sécurité de l'information (WISP).
2. Former les employés à repérer et à éviter attaques de phishingAdoptez un système de gestion de l’apprentissage comme CyberHoot pour enseigner aux employés les compétences dont ils ont besoin pour être plus confiants, productifs et en sécurité.
3. Testez vos employés avec des attaques de phishing pour vous entraîner. Les tests de phishing de CyberHoot permettent aux entreprises de tester leurs employés avec des attaques de phishing crédibles et de former ceux qui échouent à une formation corrective.
4. Déployer une technologie de cybersécurité critique, notamment authentification à deux facteurs sur tous les comptes critiques. Activez le filtrage anti-spam, validez les sauvegardes, déployez la protection DNS, antivirus, et anti-malware sur tous vos terminaux.
5. À l'ère du travail à domicile moderne, assurez-vous de gérer les appareils personnels se connectant à votre réseau en validant leur sécurité (correctifs, antivirus, protections DNS, etc.) ou en interdisant totalement leur utilisation.
6. Si vous n'avez pas fait réaliser d'évaluation des risques par un tiers au cours des deux dernières années, vous devriez en faire une dès maintenant. La mise en place d'un cadre de gestion des risques au sein de votre organisation est essentielle pour gérer vos risques les plus graves avec un temps et un budget limités.
7. Souscrivez une cyberassurance pour vous protéger en cas de sinistre catastrophique. La cyberassurance est comparable à une assurance auto, incendie, inondation ou vie. Elle est là quand vous en avez le plus besoin.

La plupart de ces recommandations sont intégrées à CyberHoot. Avec CyberHoot, vous pouvez gérer, former, évaluer et tester vos employés. Rendez-vous sur CyberHoot.com et inscrivez-vous à nos services dès aujourd'hui. À défaut, continuez à vous informer en vous abonnant à nos newsletters mensuelles sur la cybersécurité pour rester au fait des dernières actualités.

Pour en savoir plus sur la violation de GoDaddy, regardez cette courte vidéo de 3 minutes :

Sources:

NakedSecurity – Sophos 

Mise à jour de sécurité de la SEC

Lectures supplémentaires : 

Une faille de sécurité chez GoDaddy expose les clés SSL des clients de l'hébergement WordPress géré

La violation de données de GoDaddy touche 1.2 million de clients WordPress gérés

Découvrez comment CyberHoot peut sécuriser votre entreprise.

Planifier démo