Komisi Perdagangan Federal (FTC) akan mewajibkan raksasa hosting web GoDaddy untuk menerapkan perlindungan keamanan dasar, termasuk API HTTPS dan autentikasi multifaktor wajib, untuk menyelesaikan tuduhan bahwa mereka gagal mengamankan layanan hostingnya dari serangan sejak tahun 2018.
FTC mengatakan klaim perusahaan yang berbasis di Arizona mengenai praktik keamanan yang wajar juga menyesatkan jutaan pelanggan hosting web karena GoDaddy “buta terhadap kerentanan dan ancaman di lingkungan hostingnya” karena kegagalannya menerapkan alat dan praktik keamanan standar.
“Jutaan perusahaan, khususnya usaha kecil, mengandalkan penyedia hosting web seperti GoDaddy untuk mengamankan situs web yang mereka dan pelanggan andalkan,” dikatakan Samuel Levine, Direktur Biro Perlindungan Konsumen FTC.
“FTC bertindak hari ini untuk memastikan bahwa perusahaan seperti GoDaddy meningkatkan sistem keamanan mereka untuk melindungi konsumen di seluruh dunia.”
Menurut FTC keluhanPraktik keamanan GoDaddy yang tidak masuk akal mencakup kegagalan menggunakan autentikasi multifaktor (MFA), mengelola pembaruan perangkat lunak, mencatat peristiwa terkait keamanan, mengelompokkan jaringan, memantau ancaman keamanan (termasuk kegagalan menggunakan perangkat lunak yang dapat secara aktif mendeteksi ancaman dari banyak ancaman keamanannya. log), dan gunakan pemantauan integritas file.
Perusahaan juga gagal menginventarisasi dan mengelola aset, menilai risiko terhadap layanan hosting situs webnya, dan mengamankan koneksi ke layanan yang menyediakan akses ke data konsumen.
Praktik keamanan yang lemah menyebabkan banyak pelanggaran
FTC mengatakan bahwa, antara tahun 2019 dan 2022, kegagalan keamanan data ini menyebabkan beberapa pelanggaran keamanan besar, yang mengakibatkan pelaku ancaman mendapatkan akses ke situs web dan data pelanggan.
Misalnya, pada bulan Februari 2023, raksasa hosting tersebut mengungkapkan adanya penyerang tak dikenal mencuri kode sumber dan menginstal malware pada server yang disusupi setelah melanggar lingkungan hosting bersama cPanel dalam pelanggaran multi-tahun.
Perusahaan mengatakan baru menemukan pelanggaran tersebut pada awal Desember 2022 setelah menerima keluhan pelanggan bahwa situs web mereka digunakan untuk mengalihkan ke domain yang tidak dikenal.
GoDaddy juga mengungkapkan pada saat itu bahwa pelanggaran keamanan yang diungkapkan pada November 2021 dan Maret 2020 juga terkait dengan kampanye ini.
Itu Pelanggaran November 2021 mempengaruhi 1,2 juta pelanggan WordPress Terkelola. Penyerang meretas lingkungan hosting GoDaddy menggunakan kata sandi yang telah disusupi dan memperoleh alamat email, kata sandi Admin WordPress, kredensial sFTP dan basis data, serta kunci pribadi SSL dari beberapa klien.
Mengikuti Pelanggaran Maret 2020GoDaddy memberi tahu 28.000 pelanggan bahwa penyerang menggunakan kredensial hosting web mereka untuk terhubung melalui SSH pada bulan Oktober 2019.
MFA wajib bagi karyawan dan pelanggan
Menurut usulan perintah penyelesaianFTC akan mewajibkan GoDaddy untuk membuat program keamanan informasi yang kuat dan melarang perusahaan menyesatkan pelanggan tentang perlindungan keamanannya. Perintah tersebut juga mengamanatkan agar GoDaddy mempekerjakan penilai pihak ketiga yang independen untuk melakukan tinjauan dua tahunan terhadap program keamanan informasinya.
Perusahaan juga diwajibkan untuk menambahkan MFA wajib untuk semua pelanggan, karyawan, dan staf kontraktor “ke alat atau aset pendukung Layanan Hosting apa pun, termasuk menghubungkan ke database apa pun” dan “setidaknya satu metode yang tidak mengharuskan pelanggan menyediakan a nomor telepon, seperti dengan mengintegrasikan aplikasi otentikasi atau mengizinkan penggunaan kunci keamanan.”
Pada bulan Desember, FTC juga memerintahkan Marriott International dan Starwood Hotels untuk menerapkan program keamanan data yang kuat menyusul kegagalan yang menyebabkan pelanggaran data besar-besaran pada tahun 2014 dan 2018, sehingga mengungkap lebih dari 340 juta catatan tamu.
Marriott menyelesaikan dengan FTC pada bulan Oktober 2014 dan setuju untuk membayar $52 juta ke 49 negara bagian untuk menyelesaikan klaim terkait pelanggaran data ini.
Pembaruan 16 Januari, 14:34 EST: Artikel yang direvisi untuk memasukkan persyaratan MFA wajib.
Pembaruan 17 Januari, 08:28 EST: GoDaddy mengirimkan pernyataan berikut setelah artikel tersebut diterbitkan:
GoDaddy memiliki sejarah panjang dalam menawarkan produk inovatif kepada pelanggan hosting web kami. Kami berfokus pada perlindungan data dan situs web pelanggan kami, dan kami menginvestasikan sumber daya yang signifikan dalam teknologi, alat, dan sumber daya manusia untuk membantu menjaga sistem dan informasi. Kami terus meningkatkan kemampuan keamanan kami dan telah menerapkan sejumlah persyaratan dalam perjanjian penyelesaian dengan FTC. Khususnya, penyelesaian masalah ini tidak mencakup pengakuan kesalahan dan tidak ada sanksi moneter. Kami memperkirakan dampak finansial yang minimal terkait dengan kepatuhan terhadap ketentuan perjanjian dengan FTC. Kami berencana untuk terus berinvestasi pada pertahanan kami untuk mengatasi ancaman yang terus berkembang dan membantu menjaga keamanan pelanggan, situs web, dan data mereka.
