Крупный поставщик услуг кабельного телевидения и интернета, компания Comcast Cable Communications, работающая под брендом Xfinity, сообщила, что злоумышленники взломали один из ее серверов Citrix (с помощью уязвимости Citrix Bleed) и похитили конфиденциальную информацию 36 млн клиентов.
Критическая уязвимость Citrix Bleed (CVE-2023-4966) позволяет злоумышленникам перехватывать аутентификационные cookie сеансов с уязвимых устройств Citrix NetScaler ADC и NetScaler Gateway. Этот баг, получивший 9,6 балла из 10 возможных по шкале CVSS, был устранен еще 10 октября 2023 года, однако тогда разработчики Citrix не сообщили никаких подробностей об этой проблеме.
Как вскоре предупредили исследователи из компании Mandiant, оказалось, что с конца августа 2023 года эта проблема использовалась злоумышленниками в таргетированных атаках, то есть представлял собой уязвимость нулевого дня. После этого представители Citrix выпустили новое предупреждение для администраторов устройств NetScaler ADC и Gateway, призывая их немедленно исправить уязвимость, поскольку число попыток ее эксплуатации начало расти.
Как сообщается теперь, администраторы Xfinity не торопились с исправлением критической ошибки. 25 октября, примерно через две недели после того, как Citrix выпустила патчи для Citrix Bleed, телекоммуникационная компания обнаружила признаки вредоносной активности в своей сети, произошедшей в период с 16 по 19 октября.
В итоге расследование инцидента показало, что злоумышленники украли данные из систем компании, и утечка данных затронула 35 879 455 человек.
«6 декабря 2023 года, после дополнительной проверки затронутых систем и данных, Xfinity пришла к выводу, что [скомпрометированная] информация о клиентах включала имена пользователей и хешированные пароли, — говорится в сообщении компании. — В случае некоторых клиентов также могла пострадать и другая информация, например имена, контактная информация, последние четыре цифры номера социального страхования, даты рождения, а также секретные вопросы и ответы. Анализ данных еще продолжается».
В итоге компания Xfinity заявила, что попросила пользователей сбросить пароли, а также включить двухфакторную или многофакторную аутентификацию, чтобы защитить пострадавшие учетные записи. Однако клиенты жалуются, что на прошлой неделе они получили запросы на сброс паролей, но без каких-либо объяснений причин.
«Чтобы защитить вашу учетную запись, мы просим вас сбросить превентивно обновить пароль. При следующем входе в учетную запись Xfinity вам будет предложено сменить пароль, если вас еще не попросили это сделать», — гласили полученные пользователями уведомления.
