A 'falha catastrófica' da Ubiquiti era um plano de extorsão de 50 bitcoins do próprio engenheiro da empresa

Em 10 e 11 de janeiro de 2021, a Ubiquiti enviou um e-mail aos clientes informando que uma parte não autorizada havia acessado 'sistemas de tecnologia da informação hospedados por um provedor de nuvem terceirizado' e que não podia ter certeza de que os dados dos clientes — nomes, e-mails, senhas criptografadas de forma unidirecional, endereços e números de telefone — não haviam sido expostos. O e-mail continha erros de digitação, então muitos destinatários presumiram que se tratava de phishing, e a empresa teve de confirmar sua autenticidade em seu fórum da comunidade. As ações caíram, e o BSI da Alemanha aconselhou os usuários a trocar suas credenciais.

Em 30 de março de 2021, a Ubiquiti voltou a se pronunciar: o atacante havia acessado seus servidores hospedados na AWS que continham código-fonte e credenciais de TI, embora os dados dos clientes 'não fossem o alvo'; todos os usuários foram instados a redefinir senhas e ativar a autenticação de dois fatores. Na mesma semana, um 'denunciante' anônimo disse a repórteres de segurança que a invasão era catastrófica e estava sendo encoberta. As ações da Ubiquiti caíram de US$ 376,78 para US$ 298,30 — cerca de 20% — em dois dias.

O plano desmoronou em 1º de dezembro de 2021, quando promotores federais em Manhattan indiciaram Nickolas Sharp, engenheiro da Ubiquiti. Após se candidatar a outro emprego em dezembro de 2020, ele teria usado suas próprias credenciais de administrador de VPN para baixar gigabytes das contas da empresa na AWS e no GitHub, aplicado políticas da AWS para limitar o registro de logs e apagado o histórico de sua sessão de VPN — mas uma breve queda de conexão vazou o endereço IP de sua casa. Ele era o 'hacker' anônimo que exigiu 50 bitcoins até 10 de janeiro de 2021 e, quando recusado, vazou dados e se passou pelo denunciante.

As ações caíram de US$ 377 para US$ 298 em dois dias; o BSI da Alemanha orientou os clientes a trocar as senhas; seguiram-se uma ação por difamação e uma retratação na imprensa.

As credenciais de administrador legítimas de um único engenheiro davam acesso a tudo — código-fonte, armazenamentos na nuvem e configurações de segurança — sem nenhuma barreira interna entre um funcionário e as joias da coroa.

O registro de logs não era imutável: Sharp o limitou com políticas da AWS e apagou seu histórico de VPN, de modo que a empresa não conseguiu estabelecer o que de fato havia acontecido.

A empresa divulgou antes de conseguir caracterizar o incidente, e seu e-mail cheio de erros de digitação dizendo que os dados 'podem ter sido acessados' parecia phishing — o vácuo convidou à narrativa do atacante.

Um insider com credenciais de administrador é uma ameaça maior do que qualquer hacker. Mantenha os logs imutáveis, restrinja o acesso de administrador e estabeleça os fatos antes de divulgar — um vácuo é preenchido por quem mentir mais alto.

Sharp foi preso em 1º de dezembro de 2021, acusado de roubar dados e extorquir seu próprio empregador; os promotores disseram que sua manipulação da cobertura jornalística havia apagado bilhões do valor de mercado da empresa. Em agosto de 2022, o blogueiro de segurança Brian Krebs publicou uma retratação e pediu desculpas — sua fonte 'denunciante' havia sido o próprio autor do crime — e a ação por difamação da Ubiquiti contra ele foi resolvida fora dos tribunais naquele setembro. O episódio tornou-se uma referência padrão para dois controles que nenhum programa de segurança deveria dispensar: registro de auditoria imutável e limites de acesso privilegiado para insiders.