Surfshark beschreibt den Vorfall als Folge eines Konfigurationsfehlers: Ein von den Entwicklungsteams genutzter interner Testserver war versehentlich aus dem Internet erreichbar. Über diesen Zugang lagen Dienstkonfigurationen und Build-bezogene Zugangsdaten offen, außerdem Teile von Systembinärdateien und der Codehistorie.
Der Zugriff blieb nach Darstellung des Unternehmens nicht auf diesen einen Server beschränkt: Die unbefugte Partei erreichte zusätzlich einen separaten Server, der der Optimierung der Inhaltserreichbarkeit dient. Diese Maschine arbeitete als Proxy und habe keinen Zugriff auf sensible Daten gehabt – weder auf Nutzeridentitäten und IP-Adressen noch auf Verschlüsselungsschlüssel oder den Surf-Datenverkehr.
Welche Dateien, Dienste oder Zugangsdaten im Einzelnen betroffen waren, lässt Surfshark offen. Das Unternehmen betont jedoch, dass die produktive VPN-Infrastruktur und Kundendaten nicht berührt wurden. „Personenbezogene Daten wurden hier nie gespeichert und waren von hier aus nicht zugänglich, VPN-Verkehr und Surfaktivität werden ohnehin nicht protokolliert oder aufbewahrt, und die Apps und Browser-Erweiterungen auf Ihren Geräten wurden in keiner Weise verändert", so der Anbieter mit Bezug auf den kompromittierten Server.
Zum zeitlichen Ablauf nennt Surfshark konkrete Daten: Am 31. August fielen verdächtige Aktivitäten auf, am 2. September war der Vorfall eingedämmt, drei Tage später war die Behebung abgeschlossen. Hinweise darauf, dass die offengelegten Zugangsdaten missbraucht wurden oder sich die Kompromittierung auf weitere Systeme ausgedehnt hat, liegen dem Unternehmen nach eigenen Angaben nicht vor.
Als Reaktion tauschte Surfshark alle internen Zugangsdaten aus, die betroffen sein könnten, und widerrief die offengelegten Tokens. Hinzu kamen zusätzliche Maßnahmen zur Angriffserkennung, zur Überwachung von Aktivitäten und zur Systemhärtung.
Strukturell will der Anbieter künftig Sicherheitskontrollen auf Produktionsniveau auch in Testumgebungen anwenden und die Verwaltung von Zugangsdaten im Build-Prozess verbessern. Zudem hat das Unternehmen eine unabhängige Prüfung seiner weiteren Infrastruktur in Auftrag gegeben. Sollte die laufende Untersuchung weitere wichtige Erkenntnisse liefern, will Surfshark darüber informieren.
Für Nutzer ergibt sich auf Basis der veröffentlichten Informationen kein Handlungsbedarf zum Schutz ihrer Konten. Wachsamkeit gegenüber verdächtigen Aktivitäten oder unaufgeforderten Kontaktaufnahmen bleibt dennoch empfohlen.