Belarus'un bulut sağlayıcısı ActiveCloud'a ransomware saldırısı: altyapının bir bölümü şifrelendi, müşteriler günlerce hizmet alamadı
ActiveCloud, sistemlerine sızıldığını ve bulut altyapısının bir bölümünün şifrelendiğini açıkladı. Şirket ana hizmetleri geri getirdiğini, müşteri verisinin çalındığına dair kanıt bulmadığını söylüyor.
Belarus merkezli bulut hizmet sağlayıcısı ActiveCloud, bu hafta bir ransomware saldırısına uğradığını açıkladı. The Record'un haberine göre saldırganlar şirketin sistemlerine sızdı ve bulut altyapısının bir bölümünü şifreledi. Ülke genelinde işletmelerin kurumsal web siteleri, e-posta hizmetleri ve sanal sunucuları günlerce aksadı.
Şirket saldırıyı ilk kez salı günü duyurdu. Çarşamba günü altyapının kilit bölümlerinin geri getirildiğini, ancak tüm müşteri sistemlerinin ayağa kalkmasının beklenenden uzun süreceğini bildirdi. Cuma günkü açıklamada ana hizmetlerin yeniden çalıştığı, tek tek müşterileri etkileyen sorunların ise hâlâ giderildiği belirtildi.
Neler etkilendi?
ActiveCloud; Belarus ve Rusya'daki kurumlara bulut hosting, sanal sunucu ve kurumsal e-posta hizmeti veriyor. Şirketin açıklamasına göre saldırı şu ürünleri etkiledi:
- E-Cloud: ana bulut hosting platformu
- E-Cloud Protected: ek güvenlik korumaları sunan hizmet
- SmartMail: kurumsal e-posta hizmeti
Müşteri destek kanalları da bir süre erişilemez kaldı. Şirket, bazı müşterilerin sanal makinelerini geri yüklemekte hâlâ zorlanabileceği uyarısını yaptı. Etkilenenler arasında, sitesinin ActiveCloud altyapısında barındırıldığını doğrulayan bir Belarus haber sitesi de var. Yerel basın, bir pizza zincirinin Belarus'taki web sitesi ve mobil uygulamasında da geçici kesinti yaşandığını yazdı.
Veri çalındı mı, kim yaptı?
ActiveCloud, incelemesinde müşteri verisinin çalındığına dair bir kanıt bulmadığını söylüyor. Şirket saldırganların kim olduğunu ve sistemlere nasıl girdiklerini açıklamadı.
Bölgede üçüncü hosting olayı
Olay, komşu Rusya'da kasım ayı başında iki hosting sağlayıcısının yaşadığı saldırıların ardından geldi. The Record'un aktardığına göre 8 Kasım'da ESTT, bulut yönetim sistemlerini hedef alan bir ransomware saldırısı bildirdi. Ondan birkaç gün önce Beget, altyapı yönetim sistemlerine erişen saldırganların veri silen betikler çalıştırdığını ve bazı sanal sunucu yedeklerinin kaybedildiğini açıklamıştı. Üç saldırı arasında kamuya açık, doğrulanmış bir bağlantı yok; şirketlerin hiçbiri sorumluyu adlandırmadı.
Bu hafta Brezilya'nın Santos Limanı'ndaki ransomware saldırısında da görüldüğü gibi, toparlanma süresini belirleyen şey yedeklerin durumu oluyor.
Ne yapılmalı?
- Bulut ya da hosting sağlayıcınızdaki sanal sunucuların yedeğini yalnızca aynı sağlayıcıda tutmayın; bağımsız bir ortamda, sağlayıcının yönetim paneli üzerinden silinemeyen bir kopya bulundurun.
- Yedekten geri dönüşü düzenli olarak deneyin; geri yüklenemeyen yedek, kesinti anında işe yaramaz.
- Web sitesi, e-posta ve DNS aynı sağlayıcıdaysa, sağlayıcı kesintisinde müşterilerinize hangi kanaldan ulaşacağınızı önceden belirleyin.
- Sağlayıcı sözleşmenizde olay bildirimi süresini, yedekleme sorumluluğunun kimde olduğunu ve geri dönüş hedeflerini kontrol edin.
- Sağlayıcınız bir ihlal bildirdiyse, o ortamdaki yönetim paneli parolalarını ve API anahtarlarını yenileyin.
