Утечка данных Vultr в 2022 году

Пользователи Vultr обычно привыкли получать уведомления о серверах, облачной инфраструктуре, IP-адресах, оплате, поддержке и безопасности. На фоне этого привычного потока поддельным сообщениям легче выглядеть настоящими. Используя адрес электронной почты, имя, сведения об IP-адресе или стране пользователя, злоумышленник может создавать сообщения, похожие на уведомления о необычных входах в аккаунт, региональных сбоях или проблемах с оплатой.

Поле «IP-адреса» в этой записи требует особого внимания. Сам по себе IP-адрес не даёт доступа к серверу, но помогает уточнить технический контекст использования облачного сервиса. Пользователю могут отправить поддельное уведомление или предупреждение о злоупотреблениях, сообщение об уязвимости безопасности, DDoS-атаке или приостановке работы, связанное с конкретным IP-адресом. Проверять такие сообщения следует только через официальную панель управления.

Поле «Географическое местоположение» может помочь в подготовке персонализированных сообщений с учётом страны или региона пользователя. Следует внимательно проверять сообщения, которые выглядят связанными с региональным законодательством, способом оплаты, центром обработки данных или налоговым уведомлением. Даже если сведения о местоположении верны, это не означает, что сообщению можно доверять.

Поскольку в этом инциденте пароли и сведения для доступа к аккаунтам не были указаны, пользователям следует прежде всего не поддаваться панике и не передавать пароли, а спокойно проверить безопасность аккаунта. Для аккаунта Vultr нужно использовать надёжный уникальный пароль и многофакторную аутентификацию, проверять ключи интеграций и включить уведомления об оплате. Если обнаружен незнакомый ключ интеграции или неожиданное изменение доступа, это следует проверить непосредственно в панели управления.

Для организаций инцидент с Vultr показывает, что данные, хранящиеся у сторонних поставщиков услуг маркетинга или коммуникаций, могут создавать риски социальной инженерии для клиентов облачной инфраструктуры. Даже если аккаунт облачного сервиса не затронут, контактные данные могут помочь злоумышленникам выбрать подходящую тему и язык сообщения. Поэтому каналы связи с клиентами и предупреждения о безопасности должны быть согласованными.

Затронутым пользователям Vultr следует внимательно проверять сообщения об оплате, приостановке работы серверов, злоупотреблениях, связанных с IP-адресами, уязвимостях безопасности, ключах интеграций или региональной проверке аккаунта. Вместо перехода по ссылке в сообщении нужно использовать знакомую панель управления и не передавать пароли или коды подтверждения. Эта запись содержит ограниченный набор данных, однако с учётом специфики облачной инфраструктуры к ней следует относиться внимательно.

Ещё один момент, на который пользователям аккаунтов Vultr стоит обратить внимание: облачные сервисы могут быть связаны с критически важными рабочими системами. Даже если раскрыт только адрес электронной почты аккаунта, злоумышленники могут запугивать пользователя срочными проблемами с безопасностью сервера, оплатой или злоупотреблениями, связанными с IP-адресом. Поэтому уведомления не следует считать подлинными, пока они не появятся в официальной панели управления.

Техническим командам следует регулярно проверять ключи интеграций, ключи SSH, пользователей с доступом к оплате и участников команды. Хотя эти категории не указаны в данной утечке, поддельные сообщения могут убеждать пользователя создать новый ключ или передать имеющиеся сведения. Безопасность уведомлений и сеансов должна быть отдельным приоритетом для облачных аккаунтов.

Для организаций этот инцидент подчёркивает необходимость отправлять клиентам облачных сервисов согласованные предупреждения о безопасности, подлинность которых можно проверить. Пользователи должны иметь возможность легко проверить в панели управления, какое предупреждение настоящее. Ссылки в электронных письмах, требующие срочных действий, нередко могут использоваться для мошенничества, нацеленного на пользователей облачной инфраструктуры.

Если эта запись соответствует вашему адресу электронной почты, проверьте свои аккаунты, последовательно учитывая каждый из перечисленных типов данных. Даже если инцидент произошёл давно, адрес электронной почты, пароль, телефон, адрес или сведения о личности могут быть объединены с другими наборами данных и позднее использованы для целевого мошенничества.

В первую очередь следует сменить пароли в аккаунтах, где используется один и тот же пароль, включить двухэтапную проверку в критически важных аккаунтах, завершить незнакомые сеансы и пользоваться известной страницей входа вместо ссылок, чтобы избежать поддельных уведомлений. Даже если в записи нет пароля, адреса электронной почты и полей профиля может быть достаточно для фишинга.