GoDaddy, das ist eine der Firmen, bei der man sein Webhosting um unter 5 Euro pro Monat bekommen kann, und die Firma, deren CEO damit prahlte, einen Elefanten erschossen zu haben, meldete vor zwei Tagen einen Sicherheitsvorfall, den man eigentlich einen Security-SuperGAU bezeichnen muss.
GoDaddy said on Friday that its network suffered a multi-year security compromise that allowed unknown attackers to steal company source code, customer and employee login credentials, and install malware that redirected customer websites to malicious sites. […] “Based on our investigation, we believe these incidents are part of a multi-year campaign by a sophisticated threat actor group that, among other things, installed malware on our systems and obtained pieces of code related to some services within GoDaddy,” the company stated.
arstechnica
Diese Vorfälle häufen sich (siehe LastPass im Dezember oder reddit vor einigen Tagen), aber das Ausmaß einer über mehrere Jahre (dem arstechnica-Artikel konnte ich entnehmen, dass die ersten Probleme 2020 begonnen haben) hindurch nicht entdeckten bzw. geschlossenen Lücke, bei der Malware installiert wurde und, so liest es sich zumindest für mich, Dritte offenbar nahezu nach Belieben schalten und walten konnten, ist ein ganz, ganz schlechtes Zeichen. Für gewöhnlich bedeutet soetwas, dass da irgendetwas ganz tief im Core der verwendeten Systeme nicht stimmt.
Ich habe mit GoDaddy nicht viel am Hut, daher war mir nicht klar, in welcher Dimension dieser Sicherheitsvorfall gesehen werden muss. Aber wenn ich mir die Suchergebnisse für „GoDaddy security breach“ ansehe, dann geht es hier über Jahre hinweg um Millionen von betroffenen Websites, die immer und immer wieder von Sicherheitslücken bei ihrem Provider betroffen sind. Und diese Vorfälle scheinen sich nahezu jährlich zu wiederholen! Allein mit dieser einen Google-Suche habe ich mehrere Vorfälle in den letzten Jahren gefunden, bei denen es immer um gewaltige Zahlen von betroffenen Websites geht. Allein im November 2021: 1,2 Millionen betroffene Websites.
Macht mit diesen Neuigkeiten, was ihr wollt, aber versucht, Unternehmen, die solche Security-Records haben und sie über die Jahre nicht in den Griff bekommen, zu meiden.