DreamHost, aylarca süren ve müşteri e-postaları ile session token'larını çalan ihlali doğruladı

Ne oldu

Web hosting sağlayıcısı DreamHost, saldırganların sistemlerinde aylarca kaldığını ve müşteri e-postalarını, dosyalarını ve giriş kimlik bilgilerini çaldıklarını doğruladı. TechCrunch'a göre şirket, olayı saldırının birkaç gün süren bir kesintiye yol açmasının ardından açıkladı; bu süre zarfında DreamHost bazı müşteri şifrelerini sıfırladı.

Saldırı ve çalınanlar

Kaliforniya başsavcısına sunulan veri ihlali bildiriminde DreamHost, saldırının ağustos ayında başladığını ve saldırganların session token'larını ele geçirdiğini belirtti; session token, kullanıcının şifresini girdikten sonra oturumunu açık tutan mekanizmadır. Çalınan bir session token'ın değerli olmasının nedeni tam olarak kimlik doğrulamayı atlamasıdır: Token'a sahip olan biri, şifreye gerek olmadan hesabın sahibi gibi hesaba erişebilir.

TechCrunch, saldırı sırasında erişilen veriler arasında müşteri e-posta kutularının ve dosyalarının da bildirimde adı geçen kimlik bilgileri ve session token'ların yanı sıra yer aldığını yazıyor.

Saldırganlar nasıl girdi

DreamHost, ilk erişimin dosya yöneticisindeki bir güvenlik açığından kaynaklandığını bildirdi; dosya yöneticisi, müşterilerin hosting hesaplarındaki dosyalarını depolamak ve yönetmek için kullandığı araçtır. Şirket açığın ne olduğunu belirtmedi ve bir sözcüsü TechCrunch sorduğunda bunu tanımlamayı reddetti.

Sözcü, bir teoriyi ise dışladı ve TechCrunch'a, hatanın yakın zamanda PHP web yazılımında keşfedilen güvenlik açıklarıyla ilgisiz olduğunu söyledi.

Yanıtsız kalan sorular

DreamHost, ağustos ayında başlayan bir saldırının neden aylarca fark edilmediğini açıklamadı. Bir sözcü, TechCrunch sorduğunda devam eden bir soruşturma gerekçe göstererek yanıtlamayı reddetti.

İhlalin ölçeği de belirsiz. DreamHost, etkilenen müşteri sayısını 'yüzde 10'un çok altında' olarak verdi ama daha kesin bir rakam vermedi. Şirketin yaklaşık 400.000 ücretli müşterisi olduğunu düşünürsek, bu üst sınır bile çok sayıda ele geçirilmiş hesap anlamına gelebilir; ancak gerçek rakam çok daha küçük olabilir.

Neden önemli

Session token'ların çalınması, etkilenen müşterilerin yapması gerekenleri de değiştiriyor. Token bir oturumu şifreden bağımsız olarak ayakta tuttuğundan, şifre değiştirmek tek başına elinde token tutan bir saldırganı hesaptan çıkarmaz. DreamHost kesinti sırasında bazı müşteri şifrelerini sıfırladı, ancak token hırsızlığı sonrası standart uygulama aktif oturumların iptal edilmesini ve mümkün olan yerlerde iki faktörlü kimlik doğrulamanın etkinleştirilmesini de kapsar.

Olay ayrıca hosting müşterilerinin sağlayıcılarına ne kadar güvendiğinin bir hatırlatıcısı. Ele geçirilen dosya yöneticisi ve DreamHost sunucularında saklanan e-postalar, müşterilerin kendi başlarına yamalayamayacağı veya izleyemeyeceği bir altyapıdır; aylarca süren tespit boşluğu, saldırganlara bu veriler içinde hareket etmek için uzun bir pencere sağladı.

Son olarak, açıklamanın belirsizliği olayı değerlendirmeyi zorlaştırıyor. Etkilenen kesimi yalnızca müşterilerin 'yüzde 10'unun çok altında' bir bölümü olarak tanımlamak, kesin bir sayı vermemek, müşterilere kendi risk durumlarını değerlendirme imkânı tanımıyor. DreamHost dosya yöneticisindeki açığı tanımlayıp saldırının neden bu kadar uzun fark edilmediğini açıklamadığı sürece ihlal, dışarıdan bakıldığında değerlendirilmesi güç olmaya devam edecek.