Een aanvaller is erin geslaagd om in te breken op een interne testomgeving van vpn-provider Surfshark, zo heeft het bedrijf bekendgemaakt. Volgens Surfshark zijn er geen klantgegevens of gevoelige data buitgemaakt. De oorzaak ligt in een menselijke fout, aldus een aankondiging van het incident. Daarin zegt Surfshark dat het op 31 augustus eerste signalen detecteerde. Er kwam een waarschuwing van een geïsoleerde testomgeving.

De vpn-provider behandelde deze melding als een 'lower-risk' geval. Op 2 september bevestigde Surfshark naar eigen zeggen de verdachte activiteit en verwijderde de dreiging. Het bedrijf zegt het gat tussen de eerste melding en de daadwerkelijke opvolging als een leermoment te beschouwen. Volgens Surfshark was het incident veroorzaakt door een menselijke fout. Een interne testserver gebruikt door de engineering teams was door een misconfiguratie toegankelijk vanaf het internet.

Via de server wist de aanvaller toegang te krijgen tot 'beperkt intern engineering materiaal'. Het gaat om delen van systeem binaries en interne configuraties voor bepaalde services. Verschillende interne, build-gerelateerde credentials waren al aan de code history gecommit, stelt Surfshark. De vpn-proivider voegt toe dat geen van de credentials toegang tot gebruikersgegevens of productiesystemen gaf waar gebruikers gebruik van maken. Ook is er geen misbruik van de credentials waargenomen.

De vpn-provider besloot wel alle gecompromitteerde credentials te vervangen. Verder bleek dat de aanvaller ook toegang heeft gekregen tot een geïsoleerde 'content accessibility optimisation' server. Deze server fungeerde als proxy. Volgens Surfshark had deze server geen toegang tot ip-adressen, 'user identities', encryptiesleutels of internetverkeer. Gebruikers hebben dan ook geen risico gelopen, aldus de verklaring. Naar aanleiding van het incident zegt de vpn-provider verschillende maatregelen te zullen doorvoeren, waaronder het verbeteren van de detectie en monitoring van de testomgeving.