Plus d'un million de clients GoDaddy pris dans une violation de données

Le registraire de domaine et la société d'hébergement GoDaddy ont confirmé une nouvelle violation de données. Ce n'est pas la première fois que l'entreprise subit une faille de sécurité. Dans ce dernier, au moins 1,2 million de clients ont été touchés.

La divulgation a été faite dans un document déposé auprès de la Securities and Exchange Commission des États-Unis dans le cadre des obligations de GoDaddy en tant qu'entité cotée en bourse. Le dossier attribuait l'attaque à un "tiers non autorisé". La violation initiale a eu lieu le 6 septembre et quel que soit l'acteur de la menace derrière elle, a réussi à maintenir un accès ininterrompu et à rester sous le radar pendant plus de deux mois. Le problème a finalement été repéré à la mi-novembre.

Les acteurs de la menace avaient compromis l'environnement d'hébergement WordPress géré de GoDaddy. Essentiellement, ce service permet aux clients de GoDaddy d'utiliser la plate-forme WordPress dans un environnement hébergé par GoDaddy, sans que le client ait besoin de mettre à jour et de maintenir les composants internes de la plate-forme.

L'acteur menaçant a utilisé un "mot de passe compromis" pour accéder aux serveurs de GoDaddy.

Différents types de données pour différents clients ont été consultés lors de la violation de données. Cela comprend 1,2 million d'e-mails et de numéros de clients de comptes clients actuels et inactifs, des combinaisons de noms d'utilisateur et de mots de passe sFTP et DB (les mots de passe ayant déjà été réinitialisés par GoDaddy au moment du dépôt), les clés privées de certificat SSL pour une partie des clients actuellement actifs .

Les experts en sécurité ont décrit quelques scénarios d'actions malveillantes potentielles que les acteurs de la menace pourraient être en mesure de réaliser avec les données volées et aucun d'entre eux n'était particulièrement joli. Les scénarios allaient du détournement de domaines et de leur rançonnement à leurs propriétaires légitimes, à la redirection des visiteurs de la page vers des pages qui imitent les pages légitimes, puis à la suppression des informations saisies sur les pages falsifiées.

Un chercheur en chef en sécurité d'AppViewX a qualifié certains des scénarios laids possibles d'"événements au niveau de l'extinction".

Rapportant le problème, ThreatPost a décrit une série de trois autres incidents de sécurité que GoDaddy a subis en 2020 seulement.