Filtración de datos de Vultr de 2022

Los usuarios de Vultr suelen estar acostumbrados a recibir notificaciones sobre servidores, infraestructura en la nube, direcciones IP, facturación, soporte y seguridad. Este flujo habitual facilita que los mensajes falsos parezcan auténticos. Un atacante puede utilizar la dirección de correo electrónico, el nombre, el contexto de la IP o la información sobre el país del usuario para crear mensajes que aparenten avisar de inicios de sesión inusuales, interrupciones del servicio en una región o problemas de facturación.

El campo Direcciones IP de este registro requiere especial atención. Una dirección IP por sí sola no permite acceder a un servidor; sin embargo, aporta más contexto técnico sobre el usuario del servicio en la nube. El usuario puede recibir una notificación falsa de uso indebido, una advertencia sobre uso indebido, un aviso de vulnerabilidad de seguridad, una notificación de DDoS o un mensaje de suspensión relacionado con una dirección IP concreta. Estos mensajes solo deben verificarse desde el panel oficial.

El campo Ubicaciones geográficas puede ayudar a preparar mensajes personalizados según el país o la región del usuario. Los mensajes que parezcan referirse a la legislación regional, un método de pago, un centro de datos o una notificación fiscal deben examinarse con cuidado. Aunque la información sobre la ubicación sea correcta, eso no significa que el mensaje sea fiable.

Dado que en este incidente no se enumeran contraseñas ni información de acceso a las cuentas, la primera medida de los usuarios no debe ser entrar en pánico y compartir contraseñas, sino revisar con calma la seguridad de la cuenta. La cuenta de Vultr debe contar con una contraseña segura y única, autenticación multifactor y notificaciones de facturación activadas. También deben revisarse las claves de integración. Si aparece una clave de integración o un cambio de acceso inesperado, debe comprobarse directamente desde el panel.

Desde la perspectiva de las organizaciones, el incidente de Vultr muestra que los datos en poder de proveedores externos de marketing o comunicaciones pueden generar riesgos de ingeniería social para los clientes de infraestructura en la nube. Aunque la cuenta del servicio en la nube no se vea afectada, los datos de comunicación pueden ayudar a los atacantes a elegir el tema y el idioma adecuados. Por ello, los canales de comunicación con los clientes y las alertas de seguridad deben ser coherentes.

Los usuarios de Vultr afectados deben revisar cuidadosamente los mensajes sobre facturación, suspensión de servidores, notificaciones de uso indebido de una IP, vulnerabilidades de seguridad, claves de integración o verificación regional de cuentas. Deben utilizar el panel de control que ya conocen en lugar del enlace del mensaje y no compartir contraseñas ni códigos de verificación. Este registro contiene datos limitados; sin embargo, por su relación con la infraestructura en la nube, debe gestionarse con cuidado.

Otro aspecto al que los usuarios deben prestar atención en una cuenta de Vultr es que los servicios en la nube pueden estar vinculados a sistemas de producción críticos. Aunque solo quede expuesta la dirección de correo electrónico de una cuenta, los atacantes pueden alarmar al usuario con asuntos urgentes como la seguridad de los servidores, la facturación o el uso indebido de una IP. Por tanto, las notificaciones no deben considerarse legítimas hasta que aparezcan en el panel oficial.

Los equipos técnicos deben revisar periódicamente las claves de integración, las claves SSH, los usuarios de facturación y los miembros del equipo. Aunque estos elementos no se enumeran en esta filtración, los mensajes falsos pueden intentar convencer al usuario de que genere una clave nueva o comparta información existente. La seguridad de las notificaciones y de las sesiones debe ser una prioridad específica en las cuentas de servicios en la nube.

Para las instituciones, este incidente exige que las alertas de seguridad enviadas a los clientes de servicios en la nube sean coherentes y verificables. Los usuarios deben poder comprobar fácilmente desde el panel qué alerta es auténtica. Los enlaces de un correo electrónico que solicitan actuar con urgencia suelen poder utilizarse en fraudes dirigidos a usuarios de infraestructura en la nube.

Si este registro coincide con su dirección de correo electrónico, revise sus cuentas teniendo en cuenta, uno por uno, los tipos de datos enumerados. Aunque el incidente sea antiguo, los datos de correo electrónico, contraseña, teléfono, dirección o identidad pueden combinarse con otros conjuntos de datos y utilizarse posteriormente en fraudes dirigidos.

La prioridad es hacer cambios en las cuentas que utilicen la misma contraseña, activar la verificación en dos pasos en las cuentas críticas, cerrar las sesiones inesperadas y utilizar la página de inicio de sesión que ya conoce en lugar de enlaces para evitar las notificaciones falsas. Aunque el registro no contenga ninguna contraseña, los campos de correo electrónico y perfil pueden bastar para realizar ataques de phishing.