Nowe stanowisko Netii w sprawie ataku potwierdza, że doszło do kradzieży danych
Nie cichną echa wczorajszego ataku na serwery Netii, w wyniku których, według różnych źródeł, wykradziono i upubliczniono nawet kilkanaście gigabajtów danych klientów. Otrzymaliśmy już od Netii zaktualizowane stanowisko firmy w tej sprawie.
Mimo wcześniejszych zapewnień, zawartych w poprzedniej wersji komunikatu, którą otrzymaliśmy wczorajszego wieczoru, część danych klientów została rzeczywiście wykradziona i upubliczniona. Według Netii, są to dane klientów, którzy zawarli z firmą umowę przez Internet, a wspomniane informacje (imię i nazwisko, numer rachunku bankowego, telefonu, adres e-mail) rzeczywiście zostały przez atakujących zdobyte.[frame]7 lipca 2016 roku około południa strona internetowa netia.pl została zaatakowana przez hakerów. Hasła i loginy dostępu do NetiaOnline są bezpieczne, dlatego nie ma konieczności żadnych działań ze strony klientów. Wszystkie serwisy obsługi klienta Netii działają prawidłowo. Eksperci analizują przebieg ataku. Podjęte aktywności pozwoliły zminimalizować skutki działań wymierzonych w firmę. We współpracy z wiodącymi na rynku specjalistami z zakresu cyberbezpieczeństwa niezwłocznie wzmocniliśmy ochronę naszych zasobów sieciowych. Niemniej w wyniku ataku hakerzy dostali się do stron zawierających dane osób zgłaszających poprzez formularz chęć kontaktu ze strony Netii. Są to często fragmentaryczne wpisy, zawierające głównie numery telefonów kontaktowych. Dodatkowo włamujący się na stronę uzyskali dostęp do danych z formularza umów zawieranych drogą elektroniczną, poprzez stronę internetową Netii. Netia pragnie zachować najdalej idącą ostrożność, dlatego wszyscy klienci, których może dotyczyć potencjalny wyciek, zostaną powiadomieni. Dotyczy to niewielkiej części abonentów firmy. Sytuacja została ustabilizowana. Dane klientów oraz firm współpracujących są zabezpieczone przez ekspertów Netii, których wspomaga dodatkowy, wysoko wykwalifikowany, zewnętrzny zespół doradczy.[/frame]Jak widać problem jest poważny, hakerzy pozyskali dużą ilość danych pochodzących wyłącznie z formularzy na stronie Netii i przechowywanych na tym samym serwerze, co witryna. Ta zresztą wróciła już do pełnej sprawności. Firma deklaruje, że w najbliższym czasie skontaktuje się z właścicielami wykradzionych danych.
Niewyjaśniona została kwestia być może najistotniejsza – tego, kto włamał się na serwery Netii. Trudno bowiem uznać za wiarygodne wczorajsze próby połączenia ataków z działalnością ukraińskiego Prawego Sektora. Więcej wiadomo natomiast o samym sposobie, w jaki hakerzy uzyskali dostęp do serwera.
Według śledztwa Zaufanej Trzeciej Strony, wczorajsza kradzież danych może być pokłosiem wcześniejszego ataku datowanego na kwiecień tego roku. W bazie Virus Total dostępne są bowiem o informacje o zainfekowanym dokumencie.
Stanowi on pusty kwestionariusz osobowy spisany w języku ukraińskim, który w stopce zawiera prośbę o uruchomienie makro. Gdy to nastąpi, pobrany zostaje plik uran.jpg, który w rzeczywistości jest wykonywalnym plikiem EXE, a konkretniej koniem trojańskim Papras.
Najważniejsze jednak, że plik ten pobierany jest z serwera... investor.netia.pl, czyli tego samego, na który wczoraj przeprowadzono atak. Dokument został po raz pierwszy przeanalizowany 22 kwietnia tego roku, niewykluczone zatem, ze hakerzy mieli dostęp do serwera Netii od ponad dwóch miesięcy.