Komisi Perdagangan Federal AS (FTC) telah menyelesaikan pesanan yang membutuhkan raksasa hosting Web, Giant, GoDaddy, untuk mengamankan layanannya untuk menyelesaikan tuduhan kegagalan keamanan data yang menyebabkan beberapa pelanggaran data sejak 2018.
Di bulan Januari agen itu juga menuduh Godaddy itu, sebuah situs web utama yang menjadi tuan rumah perusahaan dengan sekitar lima juta pelanggan, menyesatkan pengguna tentang praktik keamanannya. FTC menemukan bahwa GoDaddy tidak menyadari kerentanan di lingkungan hostingnya karena kurangnya langkah -langkah keamanan standar.
Itu Pesanan FTC Melarang perusahaan untuk menyesatkan pelanggan tentang perlindungan keamanannya dan mengamanatkan Godaddy untuk membangun program keamanan informasi yang kuat, API aman menggunakan HTTPS atau protokol transfer aman lainnya, dan mengatur program manajemen pembaruan perangkat lunak dan firmware.
Perintah ini juga mengharuskan GoDaddy untuk menyewa penilai pihak ketiga yang independen untuk melakukan tinjauan dua tahunan dari program keamanan informasi dan melaporkan setiap insiden di mana data pelanggan diekspos, diakses, atau dicuri dalam waktu 10 hari.
Di antara persyaratan lain, perusahaan hosting harus menambahkan setidaknya satu MFA wajib untuk semua pelanggan, karyawan, dan staf kontraktor “ke alat pendukung layanan hosting atau aset apa pun, termasuk menghubungkan ke database apa pun” dan “setidaknya satu metode yang tidak mengharuskan pelanggan untuk menyediakan nomor telepon, seperti dengan mengintegrasikan aplikasi otentikasi atau memungkinkan penggunaan kunci keamanan.” “
Praktik keamanan longgar di balik berbagai pelanggaran
Menurut FTC keluhanGoDaddy memiliki praktik keamanan yang tidak memadai, tidak memiliki otentikasi multi-faktor (MFA), manajemen pembaruan perangkat lunak yang tepat, dan penebangan acara keamanan. Ia juga gagal memantau ancaman, segmen jaringannya, menggunakan pemantauan integritas file, melacak dan mengelola asetnya, menilai risiko terhadap layanan hostingnya, atau koneksi layanan yang aman ke data konsumen.
FTC mengatakan kegagalan keamanan ini menyebabkan beberapa pelanggaran keamanan utama antara 2019 dan 2022, mengakibatkan penyerang mendapatkan akses ke data dan situs web pelanggan. Misalnya, pada bulan Februari 2023, Godaddy mengungkapkan Aktor ancaman yang tidak diketahui itu memasang malware di server yang dikompromikan dan mencuri kode sumber setelah melanggar lingkungan hosting bersama cpanel-nya dalam pelanggaran multi-tahun.
Perusahaan menemukan insiden itu pada awal Desember 2022, hanya setelah menerima keluhan pelanggan bahwa situs web mereka dilecehkan untuk mengarahkan kembali ke domain yang tidak diketahui. Godaddy juga diungkapkan pada saat pelanggaran yang diungkapkan pada Maret 2020 dan November 2021 dikaitkan dengan kampanye yang sama.
Di November 2021 pelanggaranpenyerang meretas lingkungan hosting GoDaddy menggunakan kata sandi yang dikompromikan dan mencuri alamat email, kata sandi admin WordPress, kredensial SFTP dan database, dan kunci pribadi SSL dari 1,2 juta pelanggan WordPress yang dikelola. Mengikuti Maret 2020 pelanggaranGoDaddy memberi tahu 28.000 pelanggan bahwa penyerang menggunakan kredensial hosting web mereka untuk terhubung melalui SSH pada Oktober 2019.
“Kami terus meningkatkan kemampuan keamanan kami dan telah menerapkan sejumlah persyaratan dalam perjanjian penyelesaian dengan FTC. Khususnya, resolusi masalah ini tidak termasuk pengakuan kesalahan dan tidak ada hukuman moneter,” kata GoDaddy kepada BleepingComputer pada Januari ketika FTC ketika FTC, FTC, FTC, “kata BleepingComputer pada Januari ketika FTC ketika FTC pada FTC pada FTC, FTC, FTC, kata FTC,” mengeluarkan perintah penyelesaian yang diusulkan.
“Kami mengharapkan dampak keuangan minimal yang terkait dengan mematuhi ketentuan perjanjian dengan FTC. Kami berencana untuk terus berinvestasi dalam pertahanan kami untuk mengatasi ancaman yang berkembang dan membantu menjaga pelanggan kami, situs web mereka, dan data mereka aman.”
