Ubiquiti 的「災難性入侵」其實是自家工程師的 50 比特幣勒索計畫

2021 年 1 月 10 日至 11 日，Ubiquiti 以電子郵件通知客戶，有未經授權的第三方存取了「由第三方雲端供應商託管的資訊技術系統」，且公司無法確定客戶資料——姓名、電子郵件、單向加密的密碼、地址與電話號碼——是否未遭外洩。該郵件含有錯字，因此許多收件者以為是網路釣魚，公司不得不在其社群論壇上確認郵件為真。股價隨之下跌，德國聯邦資訊安全局（BSI）建議使用者變更憑證。

2021 年 3 月 30 日，Ubiquiti 進一步說明：攻擊者存取了該公司託管於 AWS 的伺服器，其中存有原始碼與 IT 憑證，不過客戶資料「並非目標」；公司敦促所有使用者重設密碼並啟用雙因素驗證。同週，一名匿名「吹哨者」向安全線記者表示，這起入侵是災難性的，且正遭到掩蓋。Ubiquiti 股價在兩天內從 376.78 美元跌至 298.30 美元——約 20%。

這項計謀在 2021 年 12 月 1 日瓦解，曼哈頓聯邦檢察官起訴了 Ubiquiti 工程師 Nickolas Sharp。據稱，他在 2020 年 12 月應徵另一份工作後，利用自己的管理員 VPN 憑證，從公司的 AWS 與 GitHub 帳戶下載了數 GB 的資料，套用 AWS 政策以限制日誌記錄，並刪除自己的 VPN 工作階段紀錄——但一次短暫的連線中斷洩漏了他的住家 IP 位址。他就是那名在 2021 年 1 月 10 日前索討 50 比特幣的匿名「駭客」，而在遭拒後，他外洩資料並冒充吹哨者。

股價在兩天內從 377 美元跌至 298 美元；德國聯邦資訊安全局（BSI）告知客戶變更密碼；隨後引發一樁誹謗訴訟與一次媒體更正道歉。

一名工程師的合法管理員憑證就能觸及一切——原始碼、雲端儲存與安全設定——員工與核心資產之間毫無內部防護機制。

日誌記錄並非不可竄改：Sharp 以 AWS 政策加以限制，並抹除自己的 VPN 紀錄，因此公司無法確認實際發生了什麼事。

公司在還無法釐清事件性質之前就先行揭露，而那封充滿錯字、寫著「可能已被存取」的電子郵件讀起來像網路釣魚——這個資訊真空引來了攻擊者版本的說法。

擁有管理員憑證的內部人員，是比任何駭客都更大的威脅。讓日誌保持不可竄改、隔離管理員存取權限，並在揭露前先確立事實——資訊真空會被謊言說得最大聲的人填滿。

Sharp 於 2021 年 12 月 1 日被捕，被控竊取資料並勒索自己的雇主；檢方表示，他對新聞報導的操弄使公司市值蒸發數十億美元。2022 年 8 月，安全部落客 Brian Krebs 發表更正並道歉——他的「吹哨者」消息來源正是作案者本人——而 Ubiquiti 對他的誹謗訴訟於同年 9 月庭外和解。這起事件成為兩項任何安全計畫都不該省略的控制措施之標準參考案例：不可竄改的稽核日誌記錄，以及針對內部人員的特權存取限制。