Eén hacker veegde gegevens uit bijna de helft van alle MongoDB-databases en liet losgeldnota achter

Volgens een rapport van ZDNet, als de eigenaren van ongeveer 23 duizend MongoDB-databases proberen toegang te krijgen tot de informatie erin, zullen ze die niet vinden. In plaats daarvan zien ze alleen een losgeldbriefje met op het eerste gezicht behoorlijk ernstige bedreigingen.

De aanval werd ontdekt door een onderzoeker van de GDI Foundation, Victor Gevers, en was aanvankelijk een stuk kleiner. Blijkbaar was de hacker die er verantwoordelijk voor was aanvankelijk gericht op één verkeerd geconfigureerde MongoDB-installatie. Ze zouden naar binnen gaan en, zonder de gegevens daadwerkelijk aan te raken, een briefje achterlaten en beweren dat er een back-up van de informatie is gemaakt en dat de eigenaar, om te voorkomen dat deze naar de hele wereld lekt, een 0,015 BTC moet betalen ( ongeveer $ 136) losgeld. Dit was waarschijnlijk de testfase van de aanval.

Een geautomatiseerd script wist de gegevens uit 47% van alle MongoDB-databases

Victor Gevers vertelde ZDNet dat dezelfde hacker op 30 juni een geautomatiseerd script lanceerde dat 23 duizend kwetsbare MongoDB-databases identificeerde, deze in gevaar bracht en de informatie die ze bevatten wist. De hacker liet een losgeldbrief achter die hetzelfde 0,015BTC-losgeld eiste voor het herstellen van de gegevens.

De aanval was niet bijzonder geavanceerd, maar de schaal is absoluut opmerkelijk. Volgens ZDNet omvatten de 23 duizend databases maar liefst 47% van alle MongoDB-servers over de hele wereld. Op Twitter zei een collectief van beveiligingsprofessionals genaamd Shadowserver dat 23 duizend ook redelijk dicht bij het aantal MongoDB-databases ligt dat toegankelijk is zonder enige vorm van authenticatie.

Zoals ZDNet opmerkte, maken ten minste enkele van de gewiste databases deel uit van testomgevingen, maar het is veilig om aan te nemen dat er ook behoorlijk wat productiegegevens verloren zijn gegaan, en de eigenaren zijn waarschijnlijk behoorlijk wanhopig om het terug te krijgen. Degenen die om de een of andere reden geen back-up hebben, kunnen in de verleiding komen om het losgeld te betalen. Immers, gezien hoeveel waardevolle informatie er op het spel staat, lijkt $ 136 niet zo'n enorm bedrag, en de kosten zullen dienen als een herinnering aan hoe belangrijk wachtwoordbeveiliging is. Voordat ze echter naar hun chequeboekjes grijpen, moeten ze er rekening mee houden dat ze geen garanties kunnen hebben dat ze hun gegevens terug krijgen. Over het algemeen zijn oplichters niet te vertrouwen en we mogen niet vergeten hoe groot de hoeveelheid getroffen gegevens zou kunnen zijn. Het is onwaarschijnlijk dat de hacker er een kopie van heeft, dus voordat ze het losgeld betalen, moeten eigenaren van getroffen databases die geen werkende back-up hebben, waarschijnlijk twee keer nadenken. Degenen die wel back-ups hebben, staan ook voor een beetje een dilemma.

De aanvaller dreigt de GDPR-schendingen van slachtoffers aan de autoriteiten te melden

Als het losgeldbriefje te geloven is, hebben de slachtoffers niet veel tijd om na te denken. De aanvaller zegt dat als ze niet binnen 48 uur betalen, alle gecompromitteerde gegevens voor de wereld zullen worden gelekt. Dit is niet echt een erg innovatieve tactiek. Meestal gebruiken cybercriminelen deadlines en bedreigingen om ervoor te zorgen dat hun slachtoffers aan de eisen voldoen, en de afgelopen maanden was het vooral populair om slachtoffers van ransomware te waarschuwen dat hun gegevens konden worden verkocht of gelekt.

De aanvaller die de helft van de MongoDB-databases van de wereld heeft gewist, heeft het echter een tandje hoger gezet. Volgens het losgeldbriefje zal de aanvaller, als het slachtoffer niet aan de eisen voldoet, contact opnemen met de autoriteiten die verantwoordelijk zijn voor de handhaving van de algemene verordening gegevensbescherming (AVG) van de EU en de lekkende databases melden. Heel wat dingen kunnen erop wijzen dat dit een holle bedreiging is.

Ten eerste is het, zoals we al zeiden, niet duidelijk of de hacker een kopie heeft van de gecompromitteerde gegevens, en zelfs als ze de autoriteiten willen waarschuwen, moeten ze toegeven dat ze een misdaad hebben begaan, waar ze waarschijnlijk niet zo dol op zijn. Al met al, hoewel zij verantwoordelijk zouden moeten worden gehouden voor het slecht omgaan met de gegevens van mensen, is het onwaarschijnlijk dat de slachtoffers van deze aanval door de EU worden vervolgd.

Hopelijk leren ze ook hun les, omdat het incident een behoorlijk grimmige herinnering is aan hoeveel persoonlijke informatie onjuist is opgeslagen. Het is ook een heel reële illustratie van hoe ernstig de gevolgen van dit alles kunnen zijn.