Um erro humano de configuração expôs temporariamente à internet um servidor de testes interno da Surfshark, permitindo o acesso não autorizado a credenciais de compilação e partes do histórico de código da empresa. A fornecedora de serviços de VPN assegurou, contudo, que o incidente não afetou os seus clientes nem comprometeu a infraestrutura de produção.
A atividade suspeita foi detetada no dia 31 de agosto, tendo a empresa isolado o servidor afetado a 2 de setembro e concluído o processo de remediação três dias mais tarde. Segundo a informação divulgada, o acesso indevido estendeu-se a uma máquina separada utilizada para a otimização de acessibilidade de conteúdos, que funcionava apenas como proxy e não continha dados sensíveis.
O que foi exposto no incidente
Apesar de o ambiente exposto conter configurações de serviços, credenciais de compilação, binários do sistema e histórico de código, a empresa confirmou que nenhuma informação pessoal ou tráfego de navegação foi acedido. A Surfshark relembrou que a sua arquitetura não regista nem retém histórico de navegação ou identidades de utilizadores, e garantiu que as aplicações e extensões de navegador nos dispositivos dos clientes não sofreram qualquer alteração.
A empresa adiantou ainda que não foram identificados indícios de reutilização das credenciais expostas nem de propagação do acesso indevido a outros sistemas da rede.
Medidas de mitigação e recomendações
Como resposta ao incidente, a Surfshark procedeu à rotação de todas as credenciais internas potencialmente afetadas e revogou os tokens expostos. Adicionalmente, foram implementados controlos de segurança de nível de produção nos ambientes de testes, reforçada a gestão de credenciais no processo de compilação e encomendada uma auditoria independente a toda a infraestrutura da empresa.
A empresa comprometeu-se a fornecer novas atualizações caso a investigação em curso revele mais detalhes relevantes. Com base nos dados apurados até ao momento, os utilizadores do serviço não precisam de realizar qualquer ação nas suas contas, mantendo-se apenas a recomendação habitual de atenção a comunicações não solicitadas ou atividades suspeitas.
Nenhum comentário
Seja o primeiro!