A Surfshark megerősítette, hogy feltörték, miután emberi hiba miatt egy belső tesztszerver nyitva maradt az internet felé. Egy illetéktelen harmadik fél hozzáfért a rendszerhez, és korlátozott mennyiségű belső mérnöki anyagot szerzett meg, de a VPN-szolgáltató szerint sem az ügyféladatok, sem az éles VPN-szolgáltatásai nem sérültek.

Az incidens augusztus 31-én kezdődött, amikor a Surfshark biztonsági megfigyelőrendszere gyanús aktivitást észlelt egy elszigetelt tesztkörnyezetben. A cég szeptember 2-én fejezte be az első értékelést, ekkor minősítette az eseményt biztonsági incidensnek, és még aznap elszigetelte az érintett szervert.

A Surfshark szerint a szerver hibásan volt konfigurálva, így elérhetővé vált a nyilvános internetről. Az illetéktelen fél a rendszer egyes binárisainak egy részéhez és bizonyos szolgáltatások belső konfigurációihoz fért hozzá.

Aggasztóbb, hogy a Surfshark elismeri: egyes belső, builddel kapcsolatos hitelesítő adatok időnként bekerültek a kód történetébe. A cég állítja, hogy ezek a hitelesítő adatok nem adtak hozzáférést sem ügyféladatokhoz, sem a VPN-szolgáltatás nyújtásához használt éles rendszerekhez.

A Surfshark átvizsgálta az elérhető hozzáférési naplókat, és azt közölte, hogy nem talált rosszindulatú tevékenységet ezekkel a hitelesítő adatokkal kapcsolatban. Elővigyázatosságból azonban minden azonosított, kiszivárgott titkot lecserélt vagy visszavont.

A támadó hozzáférést szerzett egy elszigetelt, tartalomelérhetőséget optimalizáló szerverhez is, amely proxyként működött. A Surfshark szerint ez a rendszer nem fért hozzá felhasználói azonosítókhoz, IP-címekhez, titkosítási kulcsokhoz vagy böngészési forgalomhoz. Az érzékeny információkat tartalmazó rendszereket védő hitelesítő adatokat külön vaultokban tárolják, és ezek nem érintettek – közölte a vállalat.

A Surfshark ügyfeleinek a cég szerint nincs teendőjük. A VPN-alkalmazásokat és a böngészőbővítményeket nem módosították, és az incidens nem befolyásolta a VPN-szolgáltatás működését. A Surfshark azt is hangsúlyozza, hogy a VPN-forgalmat és a böngészési aktivitást eleve nem naplózza és nem őrzi meg.

A történtek időrendje azonban kérdéseket vet fel. A Surfshark augusztus 31-én észlelte a gyanús aktivitást, de az incidenst csak szeptember 2-án erősítették meg és zárták le.

A cég magyarázata szerint a riasztás egy olyan elszigetelt tesztkörnyezetből érkezett, amely nem tartalmazott felhasználói vagy érzékeny adatokat, ezért kezdetben alacsonyabb kockázatú eseményként kezelték, nem pedig a bizalmas adatokat tartalmazó rendszerekre vonatkozó, sürgősségi eljárásrend szerint.

A Surfshark most már elismeri, hogy ezen a késlekedésen változtatnia kell. A vállalat azt ígéri, hogy a teszt- és kísérleti környezeteket is ugyanarra a biztonsági szintre emeli, mint az éles rendszereket.

A tervezett változtatások között szerepel a hozzáférés-szabályozás és a hitelesítési adatok kezelésének javítása a teljes build folyamat során, a tesztinfrastruktúra szorosabb felügyelete, az internet felé történő véletlen kitettség gyorsabb észlelése, valamint ugyanazon biztonsági eszközök és operációs rendszer-szintű megerősítések alkalmazása a tesztkörnyezetben is, mint az éles rendszereknél.

A Surfshark egy további, független biztonsági auditot is tervez megrendelni, amely a teljes infrastruktúrát átvilágítja.

A Surfshark közlésében nincs arra utaló jel, hogy ügyféladatok, VPN-forgalom, titkosítási kulcsok vagy az éles infrastruktúra sérült volna. Ez kulcsfontosságú részlet, különösen egy olyan cégnél, amelynek az egész üzleti modellje az adatvédelemre és a biztonságra épül.

Ennek ellenére ez akkor is egy hack volt. Egy belső szerver véletlenül kikerült az internetre, egy illetéktelen fél bejutott, hozzáfért a mérnöki anyagokhoz, és hitelesítési adatok bukkantak fel a kód történetében. Ha ennél enyhébben fogalmaznánk, indokolatlanul elkennék a történteket.

A Surfshark ügyfelei számára a jó hír az, hogy a cég állítása szerint az adataik soha nem voltak veszélyben. A kellemetlenebb kérdés inkább az, hogy egy internet felé nyitott hibás konfiguráció és a kódtörténetben felbukkanó hitelesítési adatok hogyan fordulhattak elő egyáltalán.

A Surfshark szerint ezeket a problémákat most kijavítják. Most már az a feladat, hogy a tanulságok ne csak arra a tesztszerverre vonatkozzanak, amely miatt mindez kiderült.