Surfsharkは、設定ミスによってインターネット上に公開されていた内部テストサーバーの1台に、ハッカーが侵入していたことを明らかにしました。
同VPNサービスプロバイダーによると、今回のインシデントが顧客に影響を及ぼすことはなく、他のインフラ部分にも波及しませんでしたが、サービス設定情報やビルド関連の認証情報が漏洩したとのことです。
「人為的なミスにより、エンジニアリングチームが使用する内部テストサーバーの設定に不備があり、インターネットからアクセス可能な状態になっていました」と、Surfsharkは自社サイトで説明しています。
公開状態にあった環境には、システムバイナリの一部やコード履歴も含まれていました。
Surfsharkによると、攻撃者はコンテンツアクセス最適化用に使用している別のサーバーにもアクセスしたとのことです。このマシンはプロキシとして機能しており、ユーザーの身元情報やIPアドレス、暗号鍵、閲覧トラフィックといった機密データへのアクセス権は持っていませんでした。
同社は、具体的にどのバイナリ、設定情報、サービス、認証情報、ファイルが漏洩したかについては明らかにしていませんが、本番環境のVPNインフラや顧客データには影響がなかったことを確認したとしています。
「個人情報がこの[侵害されたサーバー]に保存され、アクセス可能な状態だったことは一度もありません。VPNのトラフィックや閲覧履歴はそもそもログとして記録・保持しておらず、お客様の端末上のアプリやブラウザ拡張機能も一切改変されていません」と同社は説明しています。
同社は8月31日に不審な活動を検知し、9月2日にインシデントを封じ込めました。それから3日後、対処プロセスを完了しています。
また、漏洩した認証情報が悪用された形跡や、侵害が他のシステムに広がった形跡もないとしています。
今回のインシデントを受け、Surfsharkは影響を受けた可能性のある内部認証情報をすべてローテーションし、漏洩したトークンを失効させたうえで、追加の脅威検知や活動監視、システム強化策を導入しました。
これらの対策には、テスト環境への本番レベルのセキュリティ管理の導入、ビルドプロセスにおける認証情報管理の改善、より広範なインフラを対象とした第三者監査の実施などが含まれます。
Surfsharkは、進行中の調査で新たに重要な事実が判明した場合は、続報を提供すると約束しています。
公表されている情報に基づく限り、Surfsharkのユーザーがアカウントを守るために取るべき対応は特にありません。とはいえ、不審な活動や身に覚えのない連絡には引き続き注意を払うことが推奨されます。
