Пробивът в Ubiquiti от началото на 2021 г. вероятно не е дело на външен хакер, а на човек отвътре. Според обвинителен акт на американското Министерство на правосъдието, огласен на 1 декември 2021 г., бивш служител на компанията е откраднал данни и е поискал откуп от 50 биткойна, представяйки се за анонимен нападател.
Накратко
- Обвинението твърди, че 36-годишният Nickolas Sharp е използвал служебния си достъп до облачните акаунти на компанията, за да изтегли поверителни данни.
- Той е поискал откуп от 50 биткойна, а по-късно е участвал и в екипа, който разследва инцидента.
- Издал го е малка грешка: при прекъсване на VPN връзката за кратко се е показал истинският му домашен IP адрес.
Какво се случи през януари
През януари 2021 г. Ubiquiti, производителят на мрежово оборудване, разпрати до клиентите си известие за неоторизиран достъп до част от ИТ системите му, хоствани при облачен доставчик от трета страна. Компанията не уточни какво точно е достъпено, но предупреди, че данните може да включват име, имейл адрес, хеширана и „посолена“ парола, а при част от клиентите – адрес и телефонен номер. Препоръката беше да сменим паролите си, включително на други сайтове с еднакви данни, и да включим двуфакторно удостоверяване.
Като предпазна мярка това е стандартен съвет, но тогава остана неясно колко сериозен е бил инцидентът. През март човек, представил се за подател на сигнал от компанията, описа пробива като „катастрофален“. Той твърдеше, че Ubiquiti не може да каже пълния мащаб на атаката, защото не пази достатъчно регистрационни файлове, и че нападателят е имал достъп до сървърите на компанията в Amazon Web Services (AWS). Ubiquiti се придържаше към позицията, че няма доказателства за достъп до клиентски данни.
Какво твърди обвинението
Обвинителният акт не споменава Ubiquiti по име – компанията е наречена „Company-1“. Въпреки това подробностите съвпадат с публично известните факти и медиите свързаха случая с нея, както отбелязва ITPro. Според прокуратурата 36-годишният Nickolas Sharp е бил арестуван в сряда по обвинения в кражба на поверителни данни и опит за изнудване на работодателя си. Актът е бил подаден от голямото жури на 18 ноември и е огласен след ареста.
Като служител Sharp е имал легитимен достъп до акаунтите на компанията в AWS и GitHub. С този достъп, твърди обвинението, е изтеглил гигабайти поверителна информация, като според CyberScoop е копирал множество хранилища с код. Друг служител е забелязал нарушението дни по-късно, след като Sharp вече е променил политики на AWS, за да ограничи записването на лог файлове – така следите са станали по-трудни за проследяване.
Откупът и ролята в разследването
Малко след кражбата, твърди прокуратурата, Sharp е изпратил анонимно искане за откуп от 50 биткойна, срещу който да не разкрива инцидента и откраднатите данни. Най-необичайната подробност е, че същият човек е бил включен в екипа за реакция, който оценява щетите. Според Министерството на правосъдието той е използвал тази позиция, за да отклонява подозренията от себе си.
Случаят показва една често подценявана слабост: най-големият риск невинаги идва отвън. Служителите с широки права върху облачни системи могат да нанесат огромни щети, ако няма ясно разделение на достъпа и пълни журнали за действията им. За практическите мерки в домашна и малка мрежа вижте как да защитим смарт устройствата у дома, а за по-общия поглед към заплахите – обзора на киберсигурността. Как производителите на мрежови устройства отговарят на заплахите днес показва UniFi Network 11. Интересен пример за човешки грешки с тежки последствия са и абсурдните IT грешки в историята.
Как е проследен нападателят
Според обвинението Sharp е използвал VPN услугата SurfShark, за да скрие самоличността си, докато е теглил данните и е изпращал съобщенията. В един момент обаче домашният му интернет се е прекъснал и когато се е свързал отново, за кратко е останал без защитата на VPN. Истинският му IP адрес е бил регистриран във връзка с достъпа до GitHub на компанията. Тази малка техническа грешка, твърди Министерството на правосъдието, е била ключова за идентифицирането му.
Важно уточнение: става дума за обвинения, а не за присъда. Sharp е бил арестуван, но към 3 декември 2021 г. вината му не е доказана в съда. Освен това изявлението на Ubiquiti от март, че нападателите нямат достъп до клиентски данни, не противоречи на разкритото в обвинителния акт.
Тази статия е публикувана първоначално в СмартМакс на 3 декември 2021 г. и е възстановена от архива на сайта. Информацията отразява известното към датата на публикуване.
