Cosa portare via dall'hack di GoDaddy di novembre 2021

Il 6 settembre 2021, attori ancora sconosciuti hanno violato e ottenuto l'accesso ai dati di 1.200.000 clienti GoDaddy. GoDaddy ha notato la violazione il 17 novembre, circa 36 giorni dopo. La violazione è stata segnalata alla SEC circa cinque giorni dopo e 41 giorni dopo il fatto.

Sebbene le indagini siano ancora in corso, sappiamo che le email dei clienti e i numeri dei clienti sono stati esposti. I clienti di Active Managed WordPress hanno anche visto le loro credenziali esposte, comprese quelle per i database sFTP e WordPress. Alcuni clienti hanno anche avuto la loro chiave privata SSL esposta.

Prima di andare oltre, se sospetti che uno dei tuoi account sia stato esposto, assicurati di modificare immediatamente tutte le tue password.

Potrebbe anche essere necessario informare i clienti della violazione. Poiché si tratta di un requisito normativo, dovrai verificare quali leggi e regolamenti nella tua giurisdizione ti obbligano a fare.

Non sappiamo ancora se GoDaddy sia colpevole, le indagini sono ancora in corso. Questo, tuttavia, è un punto controverso per diversi motivi.

La sicurezza di WordPress, come tutte le altre forme di sicurezza, riguarda innanzitutto la gestione del rischio

Gli hacker e gli specialisti e i software di sicurezza sono bloccati in un infinito tiro alla fune. Per la maggior parte, il nodo rimane nel mezzo. Tuttavia, vulnerabilità, nuove tecnologie e una miriade di altre cose possono sconvolgere questo delicato equilibrio in qualsiasi momento. Tale equilibrio viene solitamente ripristinato abbastanza rapidamente. Tuttavia, questo lascia ancora una finestra di opportunità, per quanto minima, per fare danni, a volte irreparabili.

Per questo motivo, nessun sistema è mai completamente immune agli attacchi. Certo, i fornitori di servizi sono responsabili di garantire che tutto sia aggiornato e protetto, e una parte della responsabilità ricade su di loro. Questo non significa che siamo alla loro mercé. Gli amministratori e i proprietari di WordPress possono comunque adottare misure per proteggersi il più possibile per ridurre al minimo i rischi.

WordPress, in particolare, dipende da diversi sottosistemi per funzionare, ognuno dei quali può essere soggetto a vulnerabilità e attacchi. Una buona politica di sicurezza di WordPress adotta un approccio a 360 gradi e garantisce ugualmente un processo di sicurezza iterativo di WordPress che affronti i rischi e le preoccupazioni per la sicurezza man mano che si presentano.

Le violazioni possono richiedere molto tempo per essere notate

GoDaddy, una delle più grandi società di hosting a livello globale, ha impiegato 36 giorni per notare che era stata violata. Trentasei giorni potrebbero sembrare tanti, ma un rapporto IBM ha dimostrato che, in media, le aziende impiegano quasi 200 giorni per notare una violazione. Questo fa sembrare 36 giorni abbastanza ragionevoli, ma in 36 giorni possono comunque succedere molte cose.

La verità è che gli hacker hanno trasformato il processo di copertura delle loro tracce in una forma d'arte, rendendo abbastanza difficile anche per le più grandi aziende rendersi conto di essere state violate. Ciò è aggravato dal fatto che molti hacker sono supportati da budget elevati, che in alcuni casi sono finanziati dagli stati.

Potresti pensare che uno stato guidato da una dittatura potrebbe non essere interessato al tuo sito Web WordPress, ma questo potrebbe non essere necessariamente vero. Anche se potrebbero non essere interessati al tuo sito Web, in particolare, può comunque rimanere intrappolato nel fuoco incrociato. Il risultato finale è altrettanto dannoso.

Mentre sta diventando sempre più difficile scoprire gli hack, tutto si riduce alla gestione del rischio, incluso assicurarsi di disporre dei sistemi necessari per registrare l'accesso alle risorse.

Su WordPress, un plug-in del registro delle attività può fare la differenza. Più ampio è l'ambito del registro delle attività, più ampio è il campo visivo che avrai sul tuo sistema, aiutandoti a garantire che nulla sfugga al controllo.

Il nostro plug-in WP Activity Log copre una vasta gamma di attività dell'utente e del sistema e include molte estensioni del registro delle attività per il supporto di plug-in WordPress di terze parti come WooCommerce. Ciò può tranquillizzare gli amministratori sul fatto che ogni aspetto del loro sito Web viene monitorato, riducendo drasticamente il rischio che attività illecite sfuggano al radar.

Un altro plugin essenziale degno di nota è il plugin Website File Changes Monitor per WordPress. Questo plug-in essenzialmente acquisisce un'impronta digitale dei file del tuo sito Web WordPress ogni volta che lo scansiona e confronta il risultato con le scansioni precedenti per segnalare le modifiche più minime.

Le password sono letteralmente la chiave dell'intera infrastruttura

Le prime indagini hanno dimostrato che l'intero hack di GoDaddy è stato reso possibile a causa di una password compromessa. Vedere come una password può far crollare l'intera casa ci fa capire quanto sia importante ogni password.

Ovviamente non stiamo speculando sul caso GoDaddy, dal momento che tutti i dettagli non sono stati ancora resi disponibili. Tuttavia, sappiamo una o due cose sulle password di WordPress e su come trasformarle da potenziali responsabilità a diventare il tuo forte.

Una solida politica di sicurezza delle password di WordPress che includa complessità obbligatoria e scadenza automatica è un buon punto di partenza. Dovresti anche bloccare gli utenti inattivi e bloccare gli account utente dopo una serie di tentativi di accesso non riusciti. Tutti questi sono facilmente configurabili tramite WPassword, un plug-in che aggiunge un tocco serio alle tue password.

Naturalmente, l'autenticazione a due fattori su WordPress, che sta rapidamente diventando onnipresente quanto le password stesse, è fondamentale per garantire la sicurezza dell'account. WP 2FA offre un approccio completamente personalizzabile all'autenticazione a due fattori di WordPress, aiutandoti a proteggere i tuoi utenti e il tuo WordPress senza dover reinventare la ruota.

Andando avanti

Non si può negare che i provider di hosting siano responsabili della sicurezza da parte loro e dovrebbero essere ritenuti responsabili per eventuali errori se questi vengono rilevati. Tuttavia, non vi è alcuna garanzia che le violazioni non si verificheranno. Per questo motivo, dobbiamo considerare la sicurezza come una responsabilità condivisa.

Oggi, i proprietari di WordPress hanno grandi risorse a loro disposizione, dalle informazioni ai prodotti e servizi progettati per aiutarli a rimanere al sicuro. Quando tutto è stato detto e fatto, dobbiamo ai nostri utenti e clienti tenerli al sicuro e dobbiamo fare tutto il possibile per garantire che i loro dati siano al sicuro con noi.