Resumo: o domínio baways.com da brecha da British Airways, revendido num registo público
- Domínio de brecha à venda: Toda a gente imagina que a infraestrutura de uma brecha acaba enterrada num takedown, mas o domínio que raspou 22 linhas de dados de cartão da British Airways estava disponível num registo público, e a cside é hoje dona do baways.com porque o escrevemos na barra de pesquisa.
- A cside cruza o DNS: O agente JavaScript first-party da cside observa o comportamento em runtime de cada script de terceiros no browser em 100% das sessões e cruza o histórico de DNS com a variação de WHOIS, exatamente aquilo que sinalizaria um domínio de brecha ressuscitado que um scanner assente apenas na origem do script deixaria passar em 95% dos scripts, sem qualquer proteção contra sequestro de DNS.
- Monitorize dependências legadas: A British Airways pagou uma coima inicialmente fixada em 183 milhões de libras e depois reduzida para 20 milhões, pelo que a decisão não é se se deve renovar um domínio legado, mas sim se cada dependência histórica de terceiros no teu site continua a ser monitorizada da mesma forma que monitorizas o teu próprio código.
Sem tempo? Veja o bloqueio de Magecart e skimmers no navegador da cside. Cobre tudo o que se segue numa única implementação.
Em 2018, a British Airways foi atacada através da exploração de um pacote JavaScript de terceiros em execução no seu site. O script foi comprometido, e os atacantes acrescentaram linhas de código que copiavam automaticamente todos os dados de cartão de crédito e de transações dos clientes para um novo domínio: baways.com. Este domínio tinha sido astutamente comprado pelos atacantes uns dias antes da operação.
A cside é atualmente proprietária do baways.com. Se visitares o site, encontrarás uma explicação de todo o ataque, do início ao fim. O domínio é agora completamente seguro e serve fins educativos.
No entanto, a questão que colocamos é esta: Como conseguimos obter um domínio anteriormente usado num ciberataque?
Como adquirimos o baways.com
Quando o ataque aconteceu, o domínio estava alojado na Roménia por um fornecedor de alojamento lituano que oferecia servidores virtuais a preços acessíveis.
Hoje, a cside consegue detetar este tipo de anomalias e prevenir problemas semelhantes. Infelizmente, não estávamos disponíveis nessa altura. Podes saber mais sobre como este ataque aconteceu lendo o artigo completo em baways.com.
O interesse em torno deste ataque diminuiu depois de outubro de 2020, quando a British Airways recebeu uma coima recorde por uma violação de dados. Inicialmente fixada em 183 milhões de libras, mais tarde reduzida para 20 milhões. Depois de julho de 2021, encerraram o caso ao chegar a acordo com os clientes afetados na ação legal.
À medida que a cobertura mediática do incidente foi cessando, o mundo seguiu em frente.
Então, como é que conseguimos adquirir o domínio usado no maior ataque deste tipo até então?
Embora gostássemos de partilhar uma história elaborada sobre vasculhar fóruns duvidosos e negociar acordos obscuros, a verdade é, na realidade, mais inquietante. Comprámo-lo num registo público.
Umas semanas antes de a cside ser oficialmente fundada, o nosso fundador publicou o seguinte tweet:
Enquanto investigava aquilo que viria a tornar-se a cside, examinou artigos sobre a violação de dados da British Airways. Durante essa pesquisa, o domínio em questão chamou-lhe a atenção. Para seu espanto, estava disponível para qualquer pessoa reivindicar.
Comprar um domínio expirado que esteve envolvido num ciberataque é preocupante por várias razões:
Acesso a dados
Obter controlo sobre um domínio com uso anterior pode dar acesso aos dados mais privados que existem.
Inti De Ceukelaire, um especialista em cibersegurança belga, partilhou este artigo de blog em maio de 2024. Tinha comprado vários domínios expirados anteriormente pertencentes a serviços policiais locais e instituições sociais na Bélgica.
Acabou por comprar mais de 100 domínios, e relatou o seguinte:
"Dos 848 endereços de e-mail que consegui identificar numa semana, obtive com sucesso os e-mails de redefinição de palavra-passe de 80 contas Dropbox, 142 contas Google Drive, 57 contas Microsoft/OneDrive/SharePoint e uma dúzia de contas Smartschool e Doccle. Percebi que, ao comprar estes domínios, tinha obtido acesso a toneladas de informação sensível de cidadãos, armazenada nas contas na nuvem associadas a esses endereços de e-mail."
E ainda:
"Estes não foram os únicos e-mails que comecei a receber. Chocantemente, anos depois de estes endereços de e-mail terem sido abandonados, continuavam a receber informação extremamente sensível […]. Informação confidencial da justiça, informação sobre detidos libertados e defensores públicos, avisos de pagamento para pessoas endividadas, e-mails relacionados com a saúde ou situação social de pessoas vulneráveis, convites para comités especiais, […]"
Podes ler a investigação completa dele aqui.
Perder a confiança na tua marca
Os CTT no Reino Unido, o Royal Mail, usam domínios com um aspeto invulgar que podem minar a confiança. Isto é evidente noutro tweet (publicação no X) que partilhámos depois de nos depararmos nós próprios com este problema. Embora possamos estar mais alerta para este tipo de situação, temos a certeza de que não somos os únicos a sentir-nos desconfortáveis a clicar nestes links.
O que agravou a situação foi o facto de a própria equipa de suporte ter respondido a afirmar que se tratava de uma mensagem de phishing. Mas isso estava incorreto. Um tweet mais antigo do Royal Mail, abaixo, usava o mesmo domínio como encurtador de URL. Isto mina a confiança junto de utilizadores atentos e mostra que as empresas perderam o controlo sobre os seus próprios nomes de domínio.
Usaremos a HubSpot como último exemplo. Têm dezenas de domínios com níveis de estrutura variados. Estes domínios são usados em vários scripts e em diferentes plataformas:
- hubspot.com
- hs-scripts.com
- hs-banner.com
- hs-analytics.net
- hubapi.com
- hsforms.com
- hscollectedforms.net
- ...
O risco aqui é que as pessoas se deparem com estes domínios em scripts e não confiem neles, ou que se torne mais fácil para um agente malicioso comprar um domínio com aparência legítima, uma vez que segue um formato semelhante ao dos outros domínios.
Domínios usados em scripts antigos de terceiros
Recentemente relatámos o ataque Polyfill. Um domínio usado por um projeto open-source foi comprado. Descobriu-se depois que o domínio estava a injetar código malicioso. Este código gerava dinamicamente payloads com base nos cabeçalhos HTTP, ativando-se apenas em dispositivos específicos, evitando a deteção, evitando utilizadores administradores e atrasando a execução.
Nalguns casos, os utilizadores recebiam ficheiros JavaScript adulterados, que incluíam um domínio com typosquatting, googie-anaiytics[.]com/gtags.js. Este link redirecionava os utilizadores para vários sites de apostas desportivas e sites para adultos, consoante a sua região. Mas, tratando-se de JavaScript, poderia a qualquer momento introduzir novos ataques como formjacking, clickjacking e roubo de dados mais alargado.
No ataque Polyfill, o serviço estava desatualizado e, na sua maior parte, já não era necessário. Ainda assim, o domínio permaneceu ativo em milhares de sites.
Quando não é o domínio que é comprado, as ferramentas podem falir, ser descontinuadas ou deixar de receber atualizações. Quando isto acontece, alguns sites não conseguem remover os scripts desatualizados do seu código. Se o domínio ou script antigo de uma empresa extinta for depois adquirido, este fica automaticamente incorporado em milhares de sites, abrindo uma via fácil para ataques.
Muitas ferramentas de segurança verificam apenas as origens dos scripts, o que, nestes casos mencionados, não seria suficiente. Os ataques simplesmente passariam despercebidos. Lê mais sobre este problema aqui.
A necessidade de monitorizar os teus scripts
Esta é uma das razões pelas quais a PCI DSS 4.0 vai exigir a monitorização e verificação de scripts em portais de pagamento até março de 2025. A cside faz isto automaticamente, protegendo os scripts de terceiros sempre que uma página é carregada por um utilizador. Isto é feito em todo o teu site, não apenas nos portais de pagamento, indo mesmo além das recomendações da norma. Lê aqui para perceberes por que razão isto é fundamental para a segurança do teu site.
Como resolver a ameaça dos domínios expirados
Esta é uma questão multifacetada. Simplesmente comprar um domínio expirado não é ilegal. No entanto, se um nome de domínio for uma marca registada, comprá-lo (o chamado cybersquatting) pode violar leis de direitos de autor. Mas isto não vai deter atacantes que, geralmente, se mantêm anónimos e despercebidos.
Obter acesso a e-mails enviados para um domínio anteriormente pertencente a outra pessoa (ou outra empresa) é uma zona cinzenta, tanto do ponto de vista legal como ético. Embora alguns países tenham leis que impedem a abertura de correspondência física dirigida a terceiros, a aplicação destas leis aos e-mails é frequentemente objeto de debate.
As leis que regulam as comunicações eletrónicas normalmente proíbem a interceção de comunicações entre participantes que não deram o seu consentimento ou que não têm conhecimento da situação. No entanto, no caso de e-mails enviados para um domínio expirado, pode argumentar-se que o destinatário é o proprietário legítimo do nome de domínio e, por isso, o destinatário pretendido.
As leis de privacidade também proíbem a partilha e o processamento de dados de indivíduos sem o seu consentimento. Assim, ao enviar conteúdo para um endereço de e-mail expirado, o remetente pode, na verdade, violar indiretamente os direitos de privacidade do destinatário, devido à falta de diligência devida quanto ao endereço de e-mail. Um problema totalmente diferente por si só.
Como podes ver, esta é uma questão que, se possível, é melhor evitar por completo.
Como empresa ou proprietário de um site, tenta manter domínios com uso anterior, especialmente aqueles usados para criar contas e transferir dados. Também deves considerar registar domínios semelhantes e impedir que atacantes os usem (a isto chama-se cybersquatting). Mesmo que isso possa acrescentar custos anuais indesejados.
Se não conseguires, ou quando mudares de domínios e endereços de e-mail, é importante dar às pessoas um período de ajuste razoável. Se possível, reforça as medidas de segurança e configura notificações de resposta automática para quem tentar entrar em contacto durante e depois desta transição.
Para proteger o teu site de atos maliciosos causados por scripts de terceiros e pelos domínios presentes nesses scripts, a cside está aqui para isso. Fazemos proxy a todos os scripts de terceiros no teu site e verificamos cada sessão antes de o código ser processado nos browsers dos teus utilizadores.
Podes começar gratuitamente e consultar os nossos planos de preços aqui.
