noticias de tecnología

GoDaddy es una de las mayores plataformas de registro de dominios y alojamiento web. | Crédito de la foto: Arreglo especial

La historia hasta ahora: El 16 de febrero, un tercero no autorizado obtuvo acceso a los servidores de GoDaddy en su entorno de alojamiento compartido cPanel, compartió la compañía en una publicación de blog. Los atacantes instalaron malware en los servidores, lo que provocó la redirección intermitente de los sitios web de los clientes a sitios maliciosos, lo que aumentó las posibilidades de que las campañas de phishing tuvieran éxito. Los atacantes también obtuvieron fragmentos de código relacionados con algunos servicios utilizados por la empresa.

¿Qué hace GoDaddy?

GoDaddy es una de las mayores plataformas de registro de dominios y alojamiento web. La empresa ofrece servicios como soluciones de comercio electrónico, certificados SSL, correos electrónicos comerciales profesionales, servidores web y creadores de sitios web. Sus servicios de alojamiento compartido de WordPress permiten a los usuarios administrar y crear sitios web utilizando complementos y temas. GoDaddy actualmente tiene 1,5 millones de clientes que pagan con $4 mil millones en ingresos, según su última presentación ante la SEC.

¿Cómo ocurrió el ataque?

El ataque a sus servidores en diciembre de 2022 otorgó a los actores de amenazas acceso a los servidores compartidos de la empresa. Los ciberdelincuentes obtuvieron fragmentos de código relacionados con algunos servicios dentro de GoDaddy e instalaron malware que redirigía intermitentemente los sitios web aleatorios de los clientes a sitios maliciosos. La compañía compartió que los redireccionamientos estaban ocurriendo en sitios web aparentemente aleatorios alojados en sus servidores de alojamiento compartido cPanel y GoDaddy no los podía reproducir fácilmente, incluso en el mismo sitio web. Un cPanel es una interfaz gráfica (GUI) en línea basada en Linux que se utiliza como panel de control para simplificar la administración de sitios web y servidores para los propietarios y desarrolladores de sitios web. Estos redireccionamientos podrían ser utilizados por los actores de amenazas para ejecutar campañas de phishing exitosas en los sitios web de los usuarios de GoDaddy.

(Para conocer las noticias tecnológicas más importantes del día, suscribir a nuestro boletín técnico Today’s Cache)

¿Qué son los redireccionamientos y cómo funcionan?

El redireccionamiento, la redirección o el reenvío de URL es un método utilizado para garantizar que los usuarios que no tienen las URL precisas o todas las URL existentes puedan acceder a las páginas web con más de una URL.

Los redireccionamientos se usan predominantemente cuando un sitio se cambia a un nuevo dominio cuando hay varias URL disponibles para la misma página web. O bien, cuando se fusionan dos o más sitios web y cuando se elimina una página web y se envía a los usuarios a una nueva página para garantizar la continuidad de los servicios.

Configurar una redirección del lado del servidor, del tipo que usan los actores de amenazas en el ataque a los servidores de GoDaddy, requiere acceso a los archivos de configuración del servidor o configurar los encabezados de redirección con scripts del lado del servidor.

Los usuarios finales en su mayoría no se dan cuenta cuando se les redirige a una nueva página web, a menos que el navegador web que utilizan se lo notifique. Sin embargo, los actores de amenazas pueden utilizar los redireccionamientos para que los usuarios desprevenidos visiten, interactúen y compartan información en páginas web maliciosas.

¿Cuál es la línea de tiempo del ciberataque?

El ataque a los servidores de GoDaddy se informó el 16 de febrero de 2023. Se descubrió por primera vez en diciembre de 2022 después de que la empresa investigara las quejas de los clientes sobre el uso de sus sitios para redirigir a dominios aleatorios. En noviembre de 2021, se inició un ataque con una contraseña comprometida, a través del cual un tercero no autorizado accedió al sistema de aprovisionamiento en el código heredado de la empresa que, en ese momento, afectó a 1,2 millones de clientes de MWp (WordPress administrado) activos e inactivos en todas las marcas de GoDaddy.

A principios de marzo de 2020, un actor de amenazas comprometió las credenciales de inicio de sesión de alojamiento de aproximadamente 28 000 usuarios de alojamiento en GoDaddy. La compañía, en sus presentaciones ante la SEC, dijo que creía que los ataques entre 2020 y 2022 fueron llevados a cabo por el mismo grupo de actores de amenazas. Y el ataque cibernético en diciembre de 2022, que afectó a los servidores compartidos, fue parte del ataque de varios años.

En abril de 2022, Cybernews informó sobre cientos de sitios de WordPress comprometidos que ejecutaban anuncios de phishing maliciosos, siendo GoDaddy el más afectado con 42 sitios web infectados.

¿Qué significa esto para GoDaddy?

Después del ataque de diciembre de 2022, GoDaddy dijo que estaba trabajando con varias agencias de aplicación de la ley y expertos forenses de todo el mundo para investigar los ataques y ayudar a detener futuros ataques. La compañía también dijo que creía que el incidente era parte de una campaña de varios años por parte de un sofisticado grupo de actores de amenazas que, entre otras cosas, instaló malware en sus sistemas y obtuvo fragmentos de código relacionados con algunos servicios dentro de su plataforma.

Las fuerzas del orden confirmaron las pruebas que indicaban que el incidente fue llevado a cabo por un grupo sofisticado y organizado que tenía como objetivo los servicios de alojamiento con la intención de infectar sitios web y servidores con malware para campañas de phishing, distribución de malware y otras actividades maliciosas, compartió la empresa.

La compañía compartió además que está monitoreando el comportamiento de los actores de amenazas y trabajando para bloquear nuevos intentos del grupo de amenazas.

¿Cuál fue el impacto del ataque?

“Hasta la fecha, estos incidentes, así como otras amenazas y ataques cibernéticos, no han resultado en ningún impacto adverso significativo en nuestro negocio u operaciones”, compartió GoDaddy en sus presentaciones ante la SEC.

Sin embargo, aún no se ha determinado el impacto de las campañas de phishing llevadas a cabo por los actores de amenazas mediante la redirección intermitente de los sitios web de los clientes.

Además, dado que las amenazas cibernéticas evolucionan constantemente, lo que aumenta la dificultad de detectarlas y defenderse con éxito de ellas, GoDaddy cree que los incidentes futuros pueden aumentar el riesgo de sanciones más altas o investigaciones de incidentes pasados.

Y dado que el negocio de GoDaddy implica el almacenamiento y la transmisión de información confidencial, incluida la información personal y la información de la tarjeta de pago, podrían estar sujetos a responsabilidad, pérdida de negocios, litigios, investigaciones gubernamentales u otras pérdidas en caso de violación de datos confidenciales.