Surfshark beschreibt in einem Vorfallsbericht, dass ein interner Testserver nach einer Fehlkonfiguration aus dem Internet erreichbar wurde und von einem Angreifer betreten werden konnte. Der Server enthielt nach Unternehmensangaben nur begrenztes internes Engineering-Material, konkret „Teile der Systembinärdateien und interne Konfigurationen für bestimmte Dienste".
Im Zuge der Untersuchung stieß das Unternehmen zudem auf interne, build-bezogene Zugangsdaten, die in die eigene Code-Historie eingecheckt worden waren. Diese wurden ausgetauscht. Laut Surfshark ermöglichten sie weder Zugriff auf Nutzerdaten noch auf die Produktionssysteme, die den Dienst für Kunden bereitstellen.
Betroffen war außerdem ein isolierter virtueller Server (VPS), der als Proxy zur Optimierung der Inhaltserreichbarkeit dient. Auch hier seien keine Verschlüsselungsschlüssel, Nutzeridentitäten, IP-Adressen oder Browser-Datenverkehr offengelegt worden.
„Das betroffene System war eine interne Engineering-Umgebung. Es speichert und verarbeitet konstruktionsbedingt keinerlei Nutzerdaten und wird getrennt von den Produktionssystemen gehalten, die unseren Dienst erbringen", teilte das Unternehmen mit. Ergänzend verwies Surfshark darauf, dass VPN-Datenverkehr und Surfaktivitäten weder protokolliert noch aufbewahrt würden und dass keine Anwendung und keine Browser-Erweiterung auf Nutzergeräten verändert worden sei.
Die Zeitleiste des Vorfalls ist knapp: Entdeckung am 31. August, zunächst Einstufung als geringes Risiko, dann am 2. September die Bestätigung des Umfangs und der Übergang in Eindämmung und Behebung.
Als Reaktion hat Surfshark nach eigener Darstellung das betroffene System abgeschottet und die Erreichbarkeit aus dem Internet beseitigt, die betreffenden internen Zugangsdaten rotiert, zusätzliche Sicherheitsmaßnahmen umgesetzt und den vollständigen Umfang der Kompromittierung bestätigt.
Darüber hinaus kündigte das Unternehmen eine externe Prüfung an: „Wir werden zusätzlich ein unabhängiges Sicherheitsaudit durchführen lassen, um die Sicherheitslage der breiteren Infrastrukturumgebung zu bewerten."
Über den Vorfall berichtete Ionut Arghire für SecurityWeek.