Los altos ejecutivos actuales y anteriores de la empresa de servicios de software con sede en Texas SolarWinds están culpando a un pasante de la compañía por un error crítico en la seguridad de las contraseñas que pasó desapercibido durante años.
La contraseña supuestamente filtrada era "solarwinds123" y fue descubierta en 2019 en Internet pública por un investigador de seguridad independiente Vinoth Kumar. Según Kumar, cualquiera puede acceder al servidor de actualización de SolarWinds utilizando la contraseña "solarwinds123". Según los informes, dicha contraseña había estado disponible en un repositorio de GitHub desde el 17 de junio de 2018 antes de que SolarWinds solucionara la configuración incorrecta el 19 de noviembre de 2019.
El problema sobre la seguridad inadecuada de la contraseña en SolarWinds se planteó durante una audiencia conjunta de los comités de Supervisión de la Cámara y Seguridad Nacional.
"Tengo una contraseña más segura que 'solarwinds123' para evitar que mis hijos vean demasiado YouTube en su iPad", dijo la representante Katie Porter. "¡Se suponía que usted y su empresa debían impedir que los rusos leyeran los correos electrónicos del Departamento de Defensa!"
Los representantes de SolarWinds dijeron a los legisladores que tan pronto como se informó el problema de la contraseña, se solucionó en unos días.
"Creo que fue una contraseña que usó un pasante en uno de sus servidores Github en 2017, que se informó a nuestro equipo de seguridad y se eliminó de inmediato", dijo el director ejecutivo de SolarWinds, Sudhakar Ramakrishna.
Kevin Thompson, ex director ejecutivo de SolarWinds, se hizo eco de la declaración, quien también dijo que el problema de la contraseña fue "un error que cometió un pasante".
"Violaron nuestras políticas de contraseñas y publicaron esa contraseña en una cuenta interna, en su propia cuenta privada de Github", dijo Thompson. "Tan pronto como fue identificado y puesto en conocimiento de mi equipo de seguridad, lo retiraron".
Sin embargo, ni Thompson ni Ramakrishna no explicaron cómo se permitió esa contraseña de una semana en primer lugar.
El mes pasado, la asesora adjunta de seguridad nacional, Anne Neuberger, dijo que nueve agencias gubernamentales y 100 empresas del sector privado han sido violadas en el hack de SolarWinds , que se describe como una de las operaciones más sofisticadas y mejor planificadas. El ataque involucró actualizaciones contaminadas para Orion Software Platform que contenían un implante malicioso diseñado para comprometer a los clientes de la empresa.
https://www.cybersecurity-help.cz/blog/1954.html
