Jak wynika z komunikatu OVH, atakującemu udało się uzyskać dostęp do:

• bazy danych klientów firmy w Europie,
• systemu instalacji serwerów w Quebecu (Kanada).

Baza danych zawierała takie dane osobowe klientów, jak imię, nazwisko, identyfikator, adres zamieszkania, telefon, faks oraz hasło zahashowane algorytmem SHA512. W komunikacie czytamy, że „Potrzeba wielu środków technicznych, aby odzyskać hasło. Jest to jednak możliwe”, stąd zalecenie zmiany hasła do panelu klienta. Według Niebezpiecznika hasła nie powinny być trudne do „złamania”, standardowo bowiem OVH ustawia je jako ośmioznakowe ciągi alfanumeryczne. Jednocześnie firma zapewnia, że informacje o kartach płatniczych nie dostały się w ręce atakującego, ponieważ nie są przechowywane w infrastrukturze OVH.

W przypadku systemu instalacji serwerów w Quebecu ryzyko jest następujące: jeśli klient nie usunął domyślnego klucza SSH preinstalowanego przez OVH, to atakujący mógł przejąć kontrolę nad jego serwerem.

Po nitce od kłębka, czyli jak doszło do włamania

OVH wyjaśnia, że atakujący naruszył zabezpieczenia wewnętrznej sieci w biurze firmy w Roubaix (Francja). W pierwszej kolejności uzyskał dostęp do konta e-mail jednego z administratorów. Wewnętrzne zabezpieczenia OVH opierały się na dwóch poziomach weryfikacji - oprócz podania hasła konieczna była obecność w biurze lub użycie wewnętrznego protokołu VPN. Atakujący skorzystał z tej drugiej opcji. Kolejnym krokiem było zdobycie danych dostępowych administratora systemu odpowiadającego za backoffice, czyli zaplecze administracyjne.

Po włamaniu OVH uruchomiło nowy VPN i wprowadziło dodatkowe uwierzytelnianie za pomocą sprzętowego tokena YubiKey. „W ciągu kilku miesięcy backoffice przejdzie na normę PCI-DSS, która pozwoli nam na zagwarantowanie, że w przypadku problemu związanego z włamaniem nie będzie wpływu na nasze bazy danych” - czytamy w komunikacie. Firma zapowiada w nim także, że złoży „skargę do instytucji sądowych”.

OVH informuje, że prześle do wszystkich klientów e-mail z wyjaśnieniami. Warto, nie czekając na niego, już teraz zmienić hasło.