שרת פנימי שצוותי הפיתוח של Surfshark משתמשים בו לבדיקות הוגדר בטעות כך שאפשר היה להגיע אליו ישירות מהאינטרנט. ב-31 באוגוסט זיהתה החברה פעילות חשודה עליו, וכעבור יומיים אישרה שגורם לא מזוהה אכן נכנס פנימה. Surfshark, אחד משירותי ה-VPN הנפוצים גם בישראל, מוסרת שמידע על לקוחות לא נשמר באותו שרת ולא נחשף.

מה קרה

לפי Surfshark מדובר בטעות אנוש: שרת בדיקות שאמור היה להישאר בתוך הרשת הפנימית הוגדר באופן שחשף אותו החוצה. עליו ישבו הגדרות של שירותים, פרטי אימות ששימשו בתהליך בניית הגרסאות של התוכנה, וגם חלקים מקבצי ההרצה ומהיסטוריית הקוד. מאותו מקום הגיע התוקף גם לשרת שני, שרת proxy ששימש לשיפור הנגישות לתכנים. בשרת הזה, אומרת החברה, לא היו זהות המשתמשים, כתובות ה-IP שלהם, מפתחות ההצפנה או תעבורת הגלישה.

לוח הזמנים שפרסמה החברה: זיהוי ב-31 באוגוסט, בלימה ב-2 בספטמבר, וסיום הטיפול שלושה ימים אחר כך. Surfshark החליפה את כל פרטי האימות הפנימיים שעלולים היו להיחשף, ביטלה את ה-token-ים שהיו על השרת, החילה על סביבות הבדיקה את אותם כללי אבטחה שחלים על סביבת הייצור, והזמינה ביקורת חיצונית עצמאית על התשתית הרחבה יותר. היא גם מוסרת שלא נמצא סימן לכך שמישהו עשה שימוש בפרטים שנחשפו, או שהפריצה התפשטה למערכות אחרות.

כל מה שידוע עד עכשיו מגיע מ-Surfshark עצמה. החברה לא פירטה אילו קבצים, הגדרות או פרטי אימות בדיוק היו שם, ואף גורם עצמאי לא בדק את הטענות.

למה זה חשוב לכם

VPN הוא מוצר שנקנה באמון. ברגע שאתם מתחברים אליו כל התעבורה שלכם עוברת דרך שרתים של החברה, ולכן רמת האבטחה שלה היא חלק מהפרטיות שלכם ולא עניין פנימי שלה בלבד. הצהרה כמו "אנחנו לא שומרים לוגים" נמדדת בדיוק ברגעים כאלה, כשמשהו משתבש ומתברר מה היה שמור איפה. מי שרוצה להבין מה VPN באמת עושה ומה הוא לא עושה, הסברנו את זה הבוקר.

מה עושים?

אם אתם מנויים של Surfshark, החברה אומרת שאין פעולה שחובה לבצע. עדיין, אם הסיסמה לחשבון שלכם שם משמשת אתכם גם באתרים אחרים, זה הזמן להחליף אותה בסיסמה ייחודית.

הפעילו אימות דו-שלבי בחשבון השירות אם הוא מציע את זה, כדי שסיסמה לבדה לא תספיק לאף אחד כדי להיכנס.

עדכנו את האפליקציה בטלפון ובמחשב לגרסה האחרונה, דרך חנות האפליקציות או האתר הרשמי.

היו חשדנים במיוחד כלפי מיילים שמתחזים לחברה ומבקשים מכם לאשר פרטים או להתחבר מחדש. אירוע אבטחה מתפרסם הוא הזדמנות מצוינת לפישינג, כלומר הודעות מזויפות שמתחזות לגורם אמין כדי לגנוב פרטים.

ההודעה של Surfshark היא בינתיים המקור היחיד לתיאור מה קרה באותו שרת, וזה בדיוק המקום שבו נמדדת השקיפות של ספק שמוכר פרטיות.