Fuite de données Vultr de 2022

Les utilisateurs de Vultr ont généralement l’habitude de recevoir des notifications concernant les serveurs, l’infrastructure cloud, les adresses IP, la facturation, l’assistance et la sécurité. Ce flux habituel permet plus facilement à de faux messages de paraître authentiques. Un attaquant peut exploiter l’adresse e-mail, le nom, le contexte lié à l’adresse IP ou les informations sur le pays de l’utilisateur pour créer des messages évoquant des connexions inhabituelles, des pannes régionales ou des problèmes de facturation.

Le champ Adresses IP de cette fiche mérite une attention particulière. Une adresse IP ne donne pas, à elle seule, accès à un serveur; elle apporte toutefois davantage de contexte technique sur l’utilisateur du service cloud. Celui-ci peut recevoir un faux signalement d’abus, un avertissement pour usage abusif, un avis de vulnérabilité de sécurité, une notification DDoS ou un message de suspension concernant une adresse IP précise. Ces messages doivent être vérifiés uniquement depuis l’interface de gestion officielle.

Le champ Localisations géographiques peut servir à préparer des messages personnalisés en fonction du pays ou de la région de l’utilisateur. Les messages qui semblent concerner la législation régionale, un moyen de paiement, un centre de données ou une notification fiscale doivent être examinés avec soin. Même si les informations de localisation sont exactes, cela ne signifie pas que le message est digne de confiance.

Dans cet incident, aucun mot de passe ni aucune information d’accès aux comptes n’étant répertorié, la première réaction des utilisateurs ne doit pas être de paniquer et de communiquer leurs mots de passe, mais de vérifier calmement la sécurité des comptes. Le compte Vultr doit être protégé par un mot de passe robuste et unique ainsi que par une authentification multifacteur. Il convient également d’examiner les clés d’intégration et d’activer les notifications de facturation. Toute clé d’intégration inattendue ou toute modification imprévue des accès doit être vérifiée directement depuis l’interface de gestion.

Pour les organisations, l’incident Vultr montre que les données détenues par des prestataires tiers de marketing ou de communication peuvent créer des risques d’ingénierie sociale pour les clients d’infrastructures cloud. Même si le compte du service cloud n’est pas touché, les données de communication peuvent aider les attaquants à choisir le sujet et la langue appropriés. Les canaux de communication avec les clients et les alertes de sécurité doivent donc être cohérents.

Les utilisateurs de Vultr concernés doivent examiner attentivement les messages relatifs à la facturation, à la suspension de serveurs, aux signalements d’usage abusif d’adresses IP, aux vulnérabilités de sécurité, aux clés d’intégration ou aux vérifications de compte liées à une région. Ils doivent utiliser leur interface de gestion habituelle plutôt que le lien contenu dans le message, et ne pas communiquer de mots de passe ni de codes de vérification. Cette fiche ne contient que des données limitées; le contexte de l’infrastructure cloud impose néanmoins de traiter la situation avec prudence.

Les utilisateurs doivent également garder à l’esprit que leur compte Vultr peut être associé à des systèmes de production critiques. Même si seule l’adresse e-mail d’un compte est exposée, les attaquants peuvent effrayer l’utilisateur en invoquant des problèmes urgents de sécurité des serveurs, de facturation ou d’usage abusif d’adresses IP. Les notifications ne doivent donc pas être considérées comme légitimes tant qu’elles n’apparaissent pas dans l’interface de gestion officielle.

Les équipes techniques doivent examiner régulièrement les clés d’intégration, les clés SSH, les utilisateurs chargés de la facturation et les membres de l’équipe. Bien que ces éléments ne soient pas répertoriés dans cette fuite, de faux messages peuvent tenter de convaincre l’utilisateur de générer une nouvelle clé ou de communiquer des informations existantes. La sécurité des notifications et des sessions doit constituer une priorité à part entière pour les comptes cloud.

Pour les institutions, cet événement souligne la nécessité d’envoyer aux clients de services cloud des alertes de sécurité cohérentes et vérifiables. Les utilisateurs doivent pouvoir vérifier facilement depuis l’interface de gestion quelles alertes sont authentiques. Les liens qui demandent d’agir de toute urgence dans un e-mail peuvent souvent servir à des fraudes visant les utilisateurs d’infrastructures cloud.

Si cette fiche correspond à votre adresse e-mail, vérifiez vos comptes en examinant un à un les types de données répertoriés. Même si l’incident est ancien, les informations liées à l’adresse e-mail, au mot de passe, au numéro de téléphone, à l’adresse postale ou à l’identité peuvent être recoupées avec d’autres ensembles de données, puis utilisées ultérieurement dans des fraudes ciblées.

La priorité est de changer le mot de passe des comptes qui utilisent le même mot de passe, d’activer la vérification en deux étapes sur les comptes critiques, de fermer les sessions inattendues et d’utiliser la page de connexion habituelle plutôt que des liens afin d’éviter les fausses notifications. Même si aucun mot de passe ne figure dans la fiche, les champs relatifs à l’adresse e-mail et au profil peuvent suffire à des tentatives d’hameçonnage.