DreamHost potvrdio krađu korisničkih fajlova i imejl sandučića
DreamHost je potvrdio višemesečni sajbernapad tokom kojeg su napadači ukrali korisničke imejlove, pristupne podatke i fajlove. Napad je počeo u avgustu, a kompanija kaže da je zahvatio znatno manje od 10% od oko 400.000 korisnika koji plaćaju njene usluge hostinga.
Kompanija je incident objavila prošlog četvrtka, nakon višednevnog prekida rada usluge. Tokom prekida DreamHost je resetovao lozinke delu korisnika, dok istraga o obimu i načinu napada i dalje traje.
Ukradeni tokeni sesije otvaraju pristup nalozima
U prijavi dostavljenoj državnom tužilaštvu Kalifornije, DreamHost navodi da su napadači pribavili tokene sesije. Ti tokeni održavaju prijavljenog korisnika u sistemu nakon unosa lozinke. Ako budu ukradeni, mogu omogućiti ulazak u nalog uz identitet legitimnog korisnika, bez potrebe da se lozinka ponovo unese.
Napadači su, prema saopštenju, iskoristili neobjavljenu ranjivost u alatu DreamHost File Manager. Korisnici taj alat koriste za čuvanje i upravljanje fajlovima, što objašnjava zašto incident obuhvata i podatke smeštene na hosting nalozima.
Važna pitanja ostala su bez odgovora
Predstavnik DreamHosta nije naveo o kojoj je ranjivosti reč, niti je objasnio zašto napad nije otkriven pre prošle sedmice, pozivajući se na istragu koja je u toku. Kompanija je takođe naglasila da slučaj nije povezan sa nedavno otkrivenim propustima u PHP softveru.
Objavljeni podatak o zahvaćenosti ostaje ograničen: DreamHost nije naveo precizan broj pogođenih korisnika, već samo da je njihov udeo znatno ispod 10%. Zbog kombinacije kompromitovanih imejlova, fajlova, pristupnih podataka i tokena sesije, pogođeni nalozi mogu zahtevati pažljivu proveru aktivnosti.
Šta poslovni korisnici mogu da provere
Organizacije koje koriste hosting treba da provere aktivne sesije i evidenciju prijava, promene lozinke za administratorske i povezane naloge, kao i da obnove pristupne ključeve kada ih koriste. Posebnu pažnju treba usmeriti na sadržaj imejl sandučića i fajlove koji mogu sadržati konfiguracije, akreditive ili podatke o klijentima.
Praktičan zaključak je da odgovor na kompromitovanje hostinga ne sme stati na promeni lozinke: potrebno je proveriti sesije, pristupe fajlovima i povezane naloge kako bi se umanjio rizik od daljeg neovlašćenog pristupa.