Инцидент BookMyName: Утечка данных 1868 аккаунтов доменных имен

BookMyName, один из регистраторов доменных имён компании Scaleway (группа iliad), временно приостановил свои сервисы (веб и API) во вторник, 5 мая, из-за обнаружения подозрительной активности в его информационной системе.

«Некоторые клиенты могли заметить изменение своих контактных данных, связанных с их доменными именами», — сообщил сервис в начале дня. «В результате мы приняли решение приостановить весь публичный доступ к BookMyName на время проведения необходимых расследований».

Около 17:00 регистратор опубликовал промежуточный отчёт, подтверждая, что изменённые контактные данные были восстановлены, а сервис считается безопасным. Также было объявлено о бесплатном продлении доменных имён, срок действия которых истекает в течение 72 часов.

Окончательное восстановление сервиса произошло во вторник, 5 мая, около 22:00, но с ограниченными второстепенными функциями, включая восстановление паролей.

«Учитывая фактическое восстановление сервиса сегодня, автоматические продления будут обеспечены без перебоев. Следовательно, и вопреки тому, что могло быть сообщено ранее, мы не будем осуществлять бесплатное продление доменов, срок действия которых истекает 5 мая. Эти домены будут обрабатываться в соответствии с вашими обычными условиями выставления счетов», — опубликовал сервис по этому случаю.

Уже в среду, 6 мая, BookMyName опубликовал подробный отчёт о происшествии (post mortem). Согласно этому отчёту, вторжение позволило злоумышленнику изменить контактные данные, связанные с 1868 клиентскими учётными записями. «Были изменены адрес электронной почты, имя, фамилия, пароль и страна», — описывает регистратор, по данным которого не было зафиксировано никаких несанкционированных операций по передаче доменов.

«Инцидент был вызван логической ошибкой в контроле авторизации конечной точки для изменения контактов. Эта уязвимость позволила злоумышленнику изменить любое поле, связанное с контактами, нацеливаясь на любой идентификатор учётной записи путём манипуляции параметрами HTTP-запроса. Это была преимущественно слепая атака: ни одна учётная запись не была специально нацелена», — пояснил сервис с технической стороны.