„Hostinger“ įspėja klientus: įvyko rimtas incidentas

Anot bendrovės pranešimo, rugpjūčio 23 d. paaiškėjo, kad buvo neteisėtai prisijungta prie vieno iš „Hostinger“ serverių. Šiame serveryje buvo saugomas prieigos raktas, kuris buvo naudojamas pasiekti tolesnę prieigą prie bendrovės RESTful API serverio. Ši sistema naudojama susieti vartotojų ir jų paskyrų duomenis. 

Saugumo incidento metu įsibrovėliai prisijungė prie vidinės API sistemos, ir tokiu būdu gavo prieigą prie užkoduotų (hashed — angl.) vartotojų slaptažodžių bei kitų, nefinansinių vartotojų duomenų. Šioje duomenų bazėje buvo 14 mln. „Hostinger“ vartotojų iš viso pasaulio duomenys.

„Situaciją vertiname labai rimtai, todėl išsyk informavome klientus bei ėmėmės būtinų žingsnių jų duomenų apsaugai. Mūsų specialistai pašalino incidento metu paaiškėjusias saugumo spragas bei bendrauja su atsakingomis institucijomis dėl susidariusios situacijos“, – teigia Balys Krikščiūnas, „Hostinger“ vadovas.

Jo teigimu, finansiniai klientų duomenys, tarp jų ir kreditinių kortelių duomenys, yra saugūs. Mokėjimai „Hostinger“ sistemoje yra vykdomi naudojantis sertifikuotų mokėjimo įstaigų paslaugomis. Tai reiškia, kad bendrovės sistemose niekada nėra saugomi mokėjimo kortelių ar kiti klientų finansiniai duomenys. 

Įmonė taip pat tikina, kad incidento metu nebuvo pažeistos „Hostinger” klientų paskyros ir tose paskyrose esantys duomenys. Pavyzdžiui, klientų interneto svetainės, domenai ar svetainėse esantys el. laiškai.

„Hostinger“ vadovas teigia, kad subūrė vidinių ir išorinių specialistų komandą, kurioje esantys duomenų bei internetinio saugumo ekspertai aiškinasi tikslią šio incidento kilmę bei diegia papildomas saugumo priemones visoje „Hostinger“ infrastruktūroje.

Incidento tyrimas vis dar yra pradiniame etape. Visi su situacija susiję informacijos atnaujinimai bus skelbiami „Hostinger“ tinklaraštyje ir tiesiogiai siunčiami visiems vartotojams el. paštu bei kitais kanalais.

Ką daryti?

B. Krikščiūnas neatskleidžia, kiek ir kokių klientų įmonė turi Lietuvoje.

„Klientų skaičius Lietuvoje yra komercinė paslaptis. Dėl BDAR reikalavimų bei konfidencialumo įsipareigojimų neturime teisės atskleisti ir savo klientų tapatybės ar pavadinimų. Tačiau galime pasakyti, kad saugumo incidento paliestoje duomenų bazėje buvo 71.627 „Hostinger“ vartotojų iš Lietuvos duomenys“, – sako „Hostinger“ vadovas.

Klientams bendrovė rekomenduoja pasikeisti slaptažodžius, naudojamus kitose platformose, jei jie yra tokie patys kaip ir „Hostinger“ platformoje.

„Klientams taip pat patariame būti atsargiems, jei juos pasieks įtartini laiškai ar prašymai atskleisti prisijungimo detales, asmeninę informaciją arba nukreipimai į tinklapius, kurie prašo tokios informacijos. Rekomenduojame vengti atidarinėti nuorodas ar prisegtukus, esančius įtartinuose laiškuose. Ir primename klientams, kad iškilus bent menkiausiai abejonei, jie visada susisiektų su mūsų visą parą dirbančiais klientų aptarnavimo specialistais“, – priduria B. Krikščiūnas.

Pasikeisti slaptažodžius kitose platformose pataria ir Marius Pareščius, nepriklausomas IT ekspertas.

„Jie („Hostinger“) ne pirmą kartą nukentėjo. Didelė įmonė – visko pasitaiko. Viešumoje apie pastarąjį atvejį dar yra labai mažai informacijos. Bet, kaip suprantu, įsilaužėliai priėjo prie klientų prisijungimo vardų ir slaptažodžių duomenų bazės. Klientams tokiais atvejais paprastai rekomenduojama pasikeisti slaptažodžius ir kitose vietose, jei jie naudoja tuos pačius. Jei tik yra galimybė, taip pat siūlyčiau visur įsijungti dvejų veiksnių tapatumo nustatymo funkciją (2FA). Be to, yra didelė tikimybė, kad kai kurie „Hostinger“ klientai dabar kurį laiką gaus konkurentų arba scam (apgaulingus, tiekėjais apsimetančių asmenų – VŽ) e. laiškus“, – sako M. Pareščius, leisdamas suprasti, kad reikėtų atidžiai tikrinti laiškų siuntėjus ir pasiūlymus teikiančias įmones, siekiant išvengti sukčių.

Ne pirmas kartas

M. Pareščius priduria, kad tam tikrus, BDAR ir kibernetinio saugmo teisės aktuose numatytus, veiksmus tokiose situacijose turi atlikti ir nukentėjusioji bendrovė.

„Nukentėjusi įmonė turėtų apie incidentą pranešti Nacionaliniam kibernetinio saugumo centrui (NKSC), netgi parašyti pareiškimą policijai. Jei nutekėjo ar galėjo nutekėti privačių asmenų duomenys, reikia pranešti ir Valstybinei duomenų apsaugos inspekcijai. Taip pat būtina įspėti vartotojus, pakeisti slaptažodžius, užlopyti skyles“, – standartinį veiksmų planą dėsto pašnekovas.

Kaip minėta, tai ne pirmas atvejis, kai piktavaliai puola „Hostinger“. Štai 2015 m. VŽ rašė, kad į Kauno bendrovės „Hostinger“ serverius įsilaužę programišiai pavogė ir internete paviešino daugiau nei 13 mln. jos klientų duomenis. Daugiausiai tai svetainėje užsiregistravusių vartotojų prisijungimo vardai ir slaptažodžiai bei vardai, pavardės ir el. pašto adresai, nes įsilaužta per tinklalapių prieglobos paslaugas teikiančio bendrovės padalinio „000Webhost“ svetainę.