La Comisión Federal de Comercio (FTC) exigirá al gigante de alojamiento web GoDaddy que implemente protecciones de seguridad básicas, incluidas las API HTTPS y la autenticación multifactor obligatoria, para resolver los cargos de que no protegió sus servicios de alojamiento contra ataques desde 201

 

 

 GoDaddy, con más de 82 millones de dominios gestionados y más de 20 millones de clientes a nivel mundial, reportó ingresos de 1.148 millones de dólares en el tercer trimestre de 2024, un aumento del 7.28% interanual. Para el año fiscal 2024, proyecta ingresos entre 4.545 y 4.565 millones, reflejando un crecimiento anual del 7% en el punto medio.

La Comisión Federal de Comercio (FTC, por sus siglas en inglés) ha puesto en el punto de mira a GoDaddy, una de las principales empresas de alojamiento web del mundo, por su historial de fallos de seguridad y varias brechas significativas desde 2018. A pesar de las graves acusaciones, la compañía no enfrentará sanciones económicas inmediatas, pero se le ha ordenado adoptar métodos básicos de seguridad cibernética para proteger a sus clientes.

GoDaddy, conocida por gestionar más de 82 millones de nombres de dominio y ofrecer servicios de alojamiento a millones de clientes, ha sido criticada por la FTC por no implementar medidas de seguridad mínimas. Entre las deficiencias destacadas se encuentran la falta de un sistema de gestión de eventos de seguridad de la información (SIEM, por sus siglas en inglés) y la ausencia de autenticación multifactor (MFA) para proteger los datos sensibles de los usuarios.

El informe de la FTC también acusa a GoDaddy de no aplicar actualizaciones de software de manera oportuna, no gestionar adecuadamente su inventario de hardware y software, y no segmentar su red de manera efectiva para limitar el alcance de posibles ataques. Estos fallos han llevado a varios compromisos de seguridad entre 2019 y 2022, exponiendo los datos de sus clientes y los de los visitantes de sus sitios web.

 

La FTC dice que las afirmaciones de la empresa con sede en Arizona sobre prácticas de seguridad razonables también engañaron a millones de clientes de alojamiento web porque GoDaddy, en cambio, "no se dio cuenta de las vulnerabilidades y amenazas en su entorno de alojamiento debido a sus fallas en la implementación de herramientas y prácticas de seguridad estándar".

Según la denuncia de la FTC, las prácticas de seguridad poco razonables de GoDaddy incluían no utilizar la autenticación multifactor (MFA), no gestionar las actualizaciones de software, no registrar los eventos relacionados con la seguridad, no segmentar su red, no monitorear las amenazas a la seguridad (incluso al no utilizar software que pudiera detectar activamente las amenazas a partir de sus numerosos registros) y no utilizar el monitoreo de la integridad de los archivos.

La empresa también falló en inventariar y administrar los activos, no evaluar los riesgos para sus servicios de alojamiento de sitios web y no proteger las conexiones a los servicios que brindan acceso a los datos de los consumidores.

Las prácticas de seguridad laxas provocaron múltiples infracciones

La FTC afirma que, entre 2019 y 2022, estas fallas de seguridad de los datos provocaron varias infracciones de seguridad importantes, lo que provocó que los actores de amenazas obtuvieran acceso a los sitios web y los datos de los clientes.

Por ejemplo, en febrero de 2023, el gigante del alojamiento reveló que atacantes desconocidos robaron el código fuente e instalaron malware en servidores comprometidos después de vulnerar su entorno de alojamiento compartido cPanel en una infracción que duró varios años.

La empresa dijo que solo descubrió la infracción a principios de diciembre de 2022 después de recibir quejas de los clientes de que sus sitios web se estaban utilizando para redirigir a dominios desconocidos. 

 

GoDaddy también reveló en ese momento que las infracciones de seguridad reveladas en noviembre de 2021 y marzo de 2020 también estaban vinculadas a esta campaña.

La infracción de noviembre de 2021 afectó a 1,2 millones de clientes de WordPress administrado. Los atacantes hackearon el entorno de alojamiento de GoDaddy utilizando una contraseña comprometida y obtuvieron direcciones de correo electrónico, contraseñas de administrador de WordPress, credenciales de sFTP y de base de datos, y claves privadas SSL de algunos clientes.

Tras la violación de seguridad de marzo de 2020, GoDaddy notificó a 28.000 clientes que un atacante utilizó sus credenciales de alojamiento web para conectarse a través de SSH en octubre de 2019.

MFA obligatoria para empleados y clientes

Según una orden de conciliación propuesta, la FTC exigirá a GoDaddy que establezca un programa de seguridad de la información sólido y prohíbe a la empresa engañar a los clientes sobre sus protecciones de seguridad. La orden también exige que GoDaddy contrate a un asesor externo independiente para realizar revisiones bienales de su programa de seguridad de la información.

La empresa también debe agregar MFA obligatoria para todos los clientes, empleados y personal de contratistas "a cualquier herramienta o activo de soporte del Servicio de alojamiento, incluida la conexión a cualquier base de datos y al menos un método que no requiera que el cliente proporcione un número de teléfono, como la integración de aplicaciones de autenticación o permitir el uso de una clave de seguridad".

En diciembre, la FTC también ordenó a Marriott International y Starwood Hotels que implementaran un sólido programa de seguridad de datos luego de las fallas que llevaron a violaciones masivas de datos en 2014 y 2018, exponiendo más de 340 millones de registros de huéspedes.

Marriott llegó a un acuerdo con la FTC en octubre de 2014 y acordó pagar $52 millones a 49 estados para resolver reclamos relacionados con estas violaciones de datos. 

Las exigencias de la FTC

En lugar de imponer sanciones económicas inmediatas, la FTC ha propuesto un acuerdo que obliga a GoDaddy a implementar un programa integral de seguridad de la información en un plazo de 90 días. Este programa incluye:

• Crear un inventario centralizado de hardware, software y firmware.
• Implementar herramientas automatizadas, como un SIEM, para el análisis en tiempo real de eventos de seguridad.
• Adoptar un sistema de autenticación multifactor para empleados, contratistas y terceros con acceso a servicios sensibles.
• Usar protocolos seguros, como HTTPS, para todas las llamadas API.
• Retener registros de auditoría del sistema para mejorar la supervisión y el análisis.

Además, GoDaddy deberá contratar a un evaluador externo para revisar su programa de seguridad y está prohibida de hacer declaraciones engañosas sobre sus medidas de seguridad.

A pesar de las graves acusaciones, el acuerdo no incluye multas económicas. Sin embargo, si GoDaddy incumple los términos del acuerdo, podría enfrentarse a sanciones civiles de hasta 51,744 dólares por cada violación. Esta decisión ha sido criticada por algunos expertos, quienes consideran que una multa significativa habría sido un incentivo más fuerte para garantizar el cumplimiento.

 

Fuente: BC

 Vía:

https://blog.segu-info.com.ar/2025/01/ordenan-godaddy-que-solucione-sus-malas.html 

https://bitlifemedia.com/2025/01/godaddy-bajo-la-lupa-de-la-ftc-por-brechas-y-fallos-de-seguridad/