La Comissió Europea pateix un ciberatac contra infraestructura cloud d'Europa.eu

Què va passar

La Comissió Europea va informar d'un ciberatac contra infraestructura cloud que allotjava la plataforma web Europa.eu. Les primeres conclusions apuntaven a extracció de dades dels llocs afectats, sense compromís dels sistemes interns de la Comissió, segons Reuters.

L'atac es va limitar a la infraestructura que dona suport al web públic, cosa que suggereix que la separació entre aquests serveis i les xarxes internes de la institució va complir la seva funció de contenir l'abast de l'incident.

Què significa per a una empresa mitjana

Moltes organitzacions mantenen el seu web corporatiu, formularis o portals de clients al mateix entorn o amb les mateixes credencials que la seva xarxa interna. Aquest cas mostra el valor de mantenir aquesta separació: un atac a un servei públic no ha de comprometre necessàriament sistemes crítics si estan degudament aïllats.

També il·lustra un principi de disseny: qualsevol servei exposat a internet s'ha de tractar com si pogués ser compromès en algun moment, i l'arquitectura ha de limitar el que aquest compromís permet assolir.

Què convé revisar

Mesures que limiten l'abast d'un atac a serveis públics:

• Si el web corporatiu i els portals públics estan segmentats de la xarxa interna i dels sistemes de gestió.
• Si usen credencials i identitats independents dels comptes administratius interns.
• Si l'allotjament cloud d'aquests serveis té còpies de seguretat i un pla de restauració provat.
• Si existeix un pla de comunicació previst per a un incident que afecti un servei públic de cara al client.

Preguntes freqüents

Es van veure afectats els sistemes interns de la Comissió?

Segons les primeres conclusions citades per Reuters, no; l'incident es va limitar a la infraestructura cloud que allotjava la plataforma web Europa.

Quin tipus de dades es van veure afectades?

Les primeres conclusions apuntaven a extracció de dades dels llocs afectats, sense més detall públic disponible sobre el seu abast.

Quina lliçó aplica a una empresa que no és una institució pública?

Que separar serveis públics de les xarxes internes i usar identitats independents limita l'impacte si un d'aquests serveis és compromès.