ABD Menkul Kıymetler ve Borsa Komisyonu (SEC), web hizmetleri devi GoDaddy tarafından sunulan bir "Güvenlik Olayı"nı yayınladı . GoDaddy, Kasım 2021'de ağında siber suçluların olduğunu fark ettiğini, onları sistemden çıkardığını, bilgisayar korsanlarının ne zaman sisteme girdiğini ve içerideyken neler başardıklarını belirlemeye çalıştığını söylüyor.
Ne oldu?
GoDaddy'ye göre, bilgisayar korsanlarının amaçları şunlardı:
Eylül 2021 başından beri aktif erişim, on haftalık bir pencere.
Tüm aktif MWP kullanıcı adlarına ve şifrelerine erişim sağlandı sFTP (güvenli FTP) ve WordPress veritabanları için.
SSL/TLS özel anahtarlarına erişim sağlandı Bazı MWP kullanıcılarına ait. (Raporda şöyle deniyor: "aktif kullanıcıların bir alt kümesi"(tahmini bir sayı belirtilmemiştir)
GoDaddy ayrıca , her hesap açıldığında oluşturulan varsayılan WordPress yönetici şifrelerine de erişildiğini belirtti . CyberHoot, aktif kullanıcıların çok azının veya hiçbirinin WordPress hesaplarını kurduktan sonra bu şifreyi değiştirmemiş olmasını umuyor.
GoDaddy'nin ifadesi, "sFTP [...] şifrelerinin ifşa edildiği" şeklinde olup , bu da şifrelerin düz metin olarak saklandığı izlenimini vermektedir. Şifreler tuzlanmış, karma algoritmasıyla işlenmiş ve genişletilmiş olsaydı , GoDaddy'nin bu şifrelerin ifşa edildiğini bildirmesine gerek kalmazdı. Düzgün bir şekilde karma algoritmasıyla işlenmiş şifreler, çalındıktan sonra saldırganlar tarafından kolayca kırılamaz. İyi seçilmiş, düzgün bir şekilde tuzlanmış, karma algoritmasıyla işlenmiş ve genişletilmiş bir şifrenin (güncel bilgisayar donanımıyla) kırılması yıllar alabilir ve her seferinde yalnızca tek bir şifre denenebilir.
GoDaddy, etkilenen tüm parolaları sıfırladı ve çalınması muhtemel tüm web sertifikalarını yenileriyle değiştirme sürecinde olduğunu belirtiyor. GoDaddy ayrıca, etkilenen 1,200,000 kullanıcıdan mümkün olduğunca çoğuyla iletişime geçme sürecinde. Bu, sorunun yalnızca birkaç gündür biliniyor olması göz önüne alındığında, müşterileri için faydalı bir adım.
Ancak, tespit edilmelerine on hafta kala, bu saldırıdaki suçlular, ele geçirilen sFTP şifrelerini ve web sertifikalarını kullanarak MWP kullanıcılarına karşı daha fazla saldırı gerçekleştirebilirdi. Özellikle, sFTP şifrenizi bilen dolandırıcılar, teoride, sitenizi oluşturan dosyaları indirip temel içeriğinizi çalmakla kalmayıp, aynı zamanda siteye yetkisiz eklemeler de yapabilirdi.
Yetkisiz web sitesi eklemeleri şunları içerebilir:
Arka kapılı WordPress eklentileri Şifreleriniz değiştirildikten sonra bile dolandırıcıların tekrar içeri sızmasına izin vermeyin.
İşletmenizi utandıracak sahte haberler Müşterilerin buna rastlaması durumunda.
Sitenizi doğrudan hedef alan kötü amaçlı yazılımÖrneğin, sunucuda doğrudan çalışacak şekilde tasarlanmış kripto madenciliği veya veri çalma kodu gibi.
Sitenizin ziyaretçilerini hedef alan kötü amaçlı yazılımÖrneğin, kimlik avı dolandırıcılığının bir parçası olarak sunulacak zombi kötü amaçlı yazılımlar.
Ayrıca, SSL/TLS özel anahtarınızın bir kopyasına sahip olan dolandırıcılar, başka bir yerde, yalnızca sizin siteniz olduğunu iddia etmekle kalmayıp aynı zamanda kendi web sertifikanızı kullanarak sitenin size ait olduğunu aktif olarak "kanıtlayan" bir yatırım dolandırıcılığı veya kimlik avı sunucusu gibi sahte bir site kurabilirler.
Ne Yapmalı?
Bu gibi durumlarda mağdur olmamak için yapabileceğiniz birçok şey olsa da, siz veya işletmenizin bu ihlale karışmış olabileceğini düşünüyorsanız, atabileceğiniz akıllıca ilk adımlar şunlardır:
SSL sertifikanızı en kısa sürede değiştirin. GoDaddy bunu yapmak için resmi olarak sizinle iletişime geçse de, iletişime geçtiğinizde bunu öncelikli bir konu haline getirdiğinizden emin olun. Sizinle iletişime geçilmezse, bu konuda bir talepte bulunmak için onlara ulaşın.
İşletmenizde bir Parola Yöneticisi kullanmıyorsanız, WordPress kullanıcılarınızı sFTP şifrelerindeki bu ihlal konusunda bilgilendirinMuhtemelen bu parolayı başka yerlerde de kullanacaklardır ve nerede kullanıldıysa hemen değiştirmelidirler. Kullanıcılarınız için bir parola yöneticisi kullanmak için harika bir zaman.
GoDaddy'den olayla ilgili gelecek iletişime dikkat edin. İletişim bilgilerinizin doğru olduğundan emin olun, böylece şirketin size e-posta göndermesi gerektiğinde mutlaka alırsınız.
Eğer henüz açmadıysanız 2FA'yı açın. Bu durumda saldırganların bir güvenlik açığını kullanarak güvenliği ihlal ettiği anlaşılıyor, ancak daha sonra sızdırılan parolaları kullanarak kullanıcıların hesaplarına geri dönmek, yalnızca parolanın kimlik doğrulama sürecini tamamlamaya yetmemesi durumunda çok daha zor.
Sitenizdeki tüm dosyaları, özellikle WordPress eklenti ve tema dizinlerindeki dosyaları inceleyin. Saldırganlar, tuzaklı eklentiler yükleyerek, tüm orijinal açıklar kapatılıp çalınan şifreler değiştirildikten sonra bile hesabınıza tekrar erişebilirler.
Sitenizdeki tüm hesapları inceleyin. Siber suçluların kullandığı bir diğer popüler hile ise, genellikle sitenizdeki mevcut isimlerle uyumlu olacak şekilde dikkatlice seçilmiş kullanıcı adları kullanarak bir veya daha fazla yeni hesap oluşturmaktır; bu şekilde daha sonra gizlice tekrar siteye girebilirsiniz.
Aniden sizinle iletişime geçip temizlik konusunda size "yardım" teklif edenlere karşı dikkatli olun. Bu vakadaki saldırganlar etkilenen tüm kullanıcıların e-posta adreslerini çaldılar, dolayısıyla bu "teklifler" doğrudan onlardan veya sizin bir MWP kullanıcısı olduğunuzu bilen veya tahmin eden herhangi bir ambulans kovalayan siber dolandırıcıdan geliyor olabilir.
Ek Siber Güvenlik Önerileri
CyberHoot, bu korumalara ek olarak, işletmelerin işlerini güvence altına almak için aşağıdaki adımları atmalarını da öneriyor. Bu önlemler, gerektirdikleri maliyet ve zaman yatırımına (özellikle CyberHoot aracılığıyla sağlandığında) büyük değer katıyor.
Çalışanlarınızı politikalar ve prosedürlerle yönetin. En azından bir parola politikasına, kabul edilebilir kullanım politikasına, bilgi işleme politikasına ve yazılı bir bilgi güvenliği programına (WISP) ihtiyacınız var.
Çalışanlara, bu tür durumları nasıl tespit edecekleri ve bunlardan nasıl kaçınacakları konusunda eğitim verin kimlik avı saldırılarıÇalışanlarınıza daha özgüvenli, üretken ve güvende olmaları için ihtiyaç duydukları becerileri öğretmek amacıyla CyberHoot gibi bir Öğrenme Yönetim sistemi benimseyin.
Çalışanlarınızı kimlik avı saldırılarıyla test edin ve pratik yapın. CyberHoot'un kimlik avı testleri, işletmelerin çalışanlarını inandırıcı kimlik avı saldırılarıyla test etmelerine ve başarısız olanları telafi edici kimlik avı eğitimlerine dahil etmelerine olanak tanır.
Kritik siber güvenlik teknolojilerini devreye alın: iki faktörlü kimlik doğrulama tüm kritik hesaplarda. E-posta SPAM filtrelemesini etkinleştirin, yedeklemeleri doğrulayın, DNS korumasını dağıtın, antivirüsve tüm uç noktalarınızda kötü amaçlı yazılımlara karşı koruma.
Evden çalışma döneminin yaşandığı bu modern dönemde, ağınıza bağlanan kişisel cihazlarınızı yönetirken güvenliklerini doğruladığınızdan (yama, virüsten koruma, DNS korumaları, vb.) veya kullanımlarını tamamen yasakladığınızdan emin olun.
Son 2 yıldır üçüncü bir tarafça risk değerlendirmesi yaptırmadıysanız, hemen yaptırmalısınız. Kuruluşunuzda bir risk yönetimi çerçevesi oluşturmak, sınırlı zamanınız ve paranızla en büyük risklerinizi ele almak için kritik öneme sahiptir.
Felaket gibi bir durumda sizi korumak için Siber Sigorta satın alın. Siber Sigorta, Araba, Yangın, Sel veya Hayat sigortasından farklı değildir. En çok ihtiyaç duyduğunuz anda yanınızdadır.
Bu önerilerin çoğu CyberHoot'a entegre edilmiştir. CyberHoot ile çalışanlarınızı yönetebilir, eğitebilir, değerlendirebilir ve test edebilirsiniz. CyberHoot.com adresini ziyaret edin ve hizmetlerimize bugün kaydolun. En azından, güncel siber güvenlik gelişmelerinden haberdar olmak için aylık Siber Güvenlik bültenlerimize kaydolarak öğrenmeye devam edin.
GoDaddy ihlali hakkında daha fazla bilgi edinmek için bu kısa 3 dakikalık videoyu izleyin:
