حادث أمني: ما فعلناه لتحسين أمن بنيتنا التحتية

أردنا إطلاعك على الخطوات الإضافية التي يتم اتخاذها لضمان الأمن المستقبلي لعملاء وخدمات Hostinger ، جنبًا إلى جنب مع ما تعلمته فرقنا أثناء مراجعة مشكلات الثغرات الأمنية التي تسببت في الحادث. هذه مجرد بداية لخارطة طريق تحسين الأمان. إليكم ما فعلناه حتى الآن:

لقد أعدنا كتابة قدر كبير من كود النظام الخلفي الخاص بنا ، وأزلنا الكثير من التبعيات على المكتبات الخارجية ، التي كان من المحتمل أن تكون عرضة للخطر.

لقد قمنا بتجميع فريق متخصص للأمن السيبراني. إنهم يراقبون أنظمتنا باستمرار ويقومون بإجراء اختبارات أمان داخلية للعثور على أي ثغرات محتملة. وقد أدى ذلك إلى زيادة وعي موظفينا بشكل كبير ليكونوا أكثر يقظة وحذرًا.

نحن نطبق كلمات مرور نظام التدوير التلقائي (Hashicorp Vault) ، لذا فإن أي بيانات اعتماد لتسجيل الدخول ذات أهمية بالغة للنظام تكون صالحة فقط

لمدة تصل إلى 2-3 أيام.

نحن بصدد طرح ميزة المصادقة الثنائية لعملائنا في الأسبوعين المقبلين. سيسمح لمستخدمينا بتعيين 2FA لخدماتهم ، لذلك لن يكون كافياً بعد الآن استخدام بيانات اعتماد تسجيل الدخول الخاصة بك فقط.

نحن بصدد نقل أي بيانات حساسة للعميل ، مثل رسائل البريد الإلكتروني والأسماء والألقاب إلى الخارج إلى قاعدة بيانات منفصلة ، والتي لا يمكن الوصول إليها إلا من خلال قناة مدققة بدقة. سيتم تقليل المكالمات إلى قاعدة البيانات هذه ، نظرًا لأن غالبية الإجراءات على نظامنا الأساسي ، التي تصل إلى 99٪ ، لا تتطلب هذه المعلومات ، ويمكنها الاعتماد فقط على معرف العميل الخاص بمستخدمينا.

لقد أزلنا الكثير من التعليمات البرمجية والمنطق المهملة ، مما قلل من العديد من متجهات الهجوم.

كما ذكرنا سابقًا ، قمنا بتناوب جميع بيانات الاعتماد على أنظمتنا ، وقللنا من حقوق الوصول لموظفينا ، لذلك لا يمكن لأي مستخدم على النظام الوصول إلا إلى المقدار الضروري من الموارد.

نحن نقوم بتنفيذ خوادم Bastion لتقليل الاتصالات المباشرة بالخوادم وتقليل عدد الأنظمة التي يمكنها الوصول إلى الأنظمة الداخلية.

كما ترى ، لا تزال بعض الجهود جارية ، لأننا نعطي الأولوية للتنفيذ المستدام والسلس. نهدف إلى إنهاء هذه التغييرات قبل بداية عام 2020 مع التخطيط لتحسينات أمنية أخرى في المستقبل. سوف نتأكد من أن جميع عملاء استضافة الويب Hostinger سيتم إبلاغهم بآخر التغييرات على مدونتنا ، حتى يتمكنوا من البدء في استخدام هذه الميزات الجديدة في أقرب وقت ممكن.

أخيرًا ، نود أن نشكر مجتمعنا بأكمله على أقصى قدر من الصبر والثقة والمساعدة والتعليقات المقدمة من خلال الحادث. لن نكون حيث نحن الآن بدونكم جميعًا.

25 أغسطس 2019

لقد قمنا بإعادة تعيين جميع كلمات مرور Hostinger Client كإجراء وقائي بعد حادث أمني حديث. نحن نأخذ هذا الأمر على محمل الجد ونريد أن نعلم الجميع بما حدث والخطوات الفورية التي اتخذناها لحماية أمن عملائنا.

خلال هذه الحادثة ، تمكن طرف ثالث غير مصرح به من الوصول إلى واجهة برمجة تطبيقات النظام الداخلي الخاصة بنا ، والتي كان لأحدها حق الوصول إلى كلمات المرور المجزأة وغيرها من البيانات غير المالية الخاصة بعملائنا.

لقد قيدنا النظام الضعيف ، ولم يعد هذا الوصول متاحًا.

نحن على اتصال بالسلطات المعنية.

ماذا حدث؟

في 23 أغسطس 2019 ، تلقينا تنبيهات إعلامية تفيد بأن أحد خوادمنا قد تم الوصول إليه من قبل طرف ثالث غير مصرح له. يحتوي هذا الخادم على رمز ترخيص مميز ، والذي تم استخدامه للحصول على مزيد من الوصول وتصعيد الامتيازات لنظامنا RESTful API Server *. يستخدم خادم API هذا للاستعلام عن التفاصيل حول عملائنا وحساباتهم.

* [آخر تعديل بتاريخ 25 أغسطس 2019 17:43 بالتوقيت العالمي المنسق]

تم الوصول إلى قاعدة بيانات واجهة برمجة التطبيقات ، التي تتضمن أسماء مستخدمي العميل ورسائل البريد الإلكتروني وكلمات المرور المجزأة والأسماء الأولى وعناوين IP من قبل طرف ثالث غير مصرح له. يحتوي جدول قاعدة البيانات المعني الذي يحتفظ ببيانات العميل على معلومات حول 14 مليون مستخدم Hostinger.

لقد قمنا بإعادة تعيين جميع كلمات مرور العميل كإجراء أمني وقائي

نستخدم وظيفة تجزئة التشفير لتشفير جميع كلمات مرور عملائنا. إنها وظيفة رياضية أحادية الاتجاه تقوم بتحويل كلمة مرورك إلى تسلسل عشوائي من الأحرف على ما يبدو. ومع ذلك ، وفقًا لممارسات الأمان القياسية والوقائية ، قمنا بإعادة تعيين جميع كلمات مرور تسجيل الدخول إلى Hostinger Client. لقد أرسلنا رسائل بريد إلكتروني إلى جميع عملاء Hostinger بمزيد من المعلومات بخصوص إعادة تعيين كلمة المرور.

بيانات Hostinger Client المالية آمنة

تتم عمليات الدفع مقابل خدمات Hostinger من خلال مزودي الدفع المعتمدين والمعتمدين من جهات خارجية. هذا يعني أننا لا نخزن أبدًا أي بطاقة دفع أو أي بيانات مالية حساسة أخرى للعميل على خوادمنا ولم يتم الوصول إليها أو اختراقها.

لا تتأثر مواقع وبيانات عميل Hostinger

أكملنا تحقيق داخلي شامل. ظلت حسابات عميل Hostinger والبيانات المخزنة على تلك الحسابات (مواقع الويب ، والمجالات ، ورسائل البريد الإلكتروني المستضافة ، وما إلى ذلك) كما هي ولم تتأثر.

ما هي الخطوات التي اتخذناها حتى الآن

بعد الحادث ، حددنا أصل الوصول غير المصرح به واتخذنا التدابير اللازمة لحماية البيانات الخاصة بعملائنا ،

بما في ذلك إعادة تعيين كلمة المرور الإلزامية لعملائنا وأنظمتنا في جميع بنيتنا التحتية.

علاوة على ذلك ، قمنا بتجميع فريق من خبراء الطب الشرعي الداخلي والخارجي وعلماء البيانات للتحقيق في أصل الحادث وزيادة التدابير الأمنية لجميع عمليات Hostinger. وفقًا لما يقتضيه القانون ، نحن بالفعل على اتصال بالسلطات.

التحقيق لا يزال في مراحله الأولى. سيتم نشر جميع التحديثات المتعلقة بهذا الحادث الأمني ​​في هذه المدونة ، على صفحة الحالة الخاصة بنا ، وإرسالها مباشرة إلى عملائنا عبر البريد الإلكتروني وعبر القنوات الأخرى.

ما يمكن لعملائنا القيام به لتأمين حساباتهم بشكل أكبر

بعد إعادة تعيين كلمة المرور ، نحث عملائنا على اختيار كلمات مرور قوية لا يتم استخدامها على مواقع الويب الأخرى. يجب على العملاء توخي الحذر من أي اتصالات غير مرغوب فيها قد تطلب تفاصيل تسجيل الدخول أو المعلومات الشخصية أو تحيلك إلى موقع ويب يطلب المعلومات المذكورة أعلاه. كما نقترح بشدة تجنب النقر فوق الروابط أو تنزيل المرفقات من رسائل البريد الإلكتروني المشبوهة.

نذكر عملائنا بعدم استخدام نفس كلمات المرور على العديد من مزودي الخدمة عبر الويب وإنشاء كلمات مرور فريدة قوية باستخدام أدوات إدارة كلمات المرور.

إذا كانت لديك أسئلة أخرى بخصوص أمان حسابك ، فيمكنك الاتصال بمركز مساعدة Hostinger المتاح على مدار الساعة طوال أيام الأسبوع.

Leave a comment

Your email address will not be published. Required fields are marked *