Ubiquiti的“灾难性泄露”是其自家工程师策划的50比特币勒索阴谋

2021年1月10日至11日，Ubiquiti通过电子邮件通知客户，一个未经授权的第三方访问了“由第三方云服务提供商托管的IT系统”，并且公司无法确定客户数据——姓名、电子邮件、单向加密的密码、地址和电话号码——是否已被泄露。该邮件包含拼写错误，因此许多收件人认为这是网络钓鱼，公司不得不在其社区论坛上确认邮件的真实性。股价下跌，德国联邦信息安全局（BSI）建议用户更改其凭据。

2021年3月30日，Ubiquiti发布了后续说明：攻击者访问了其托管源代码和IT凭据的AWS服务器，不过客户数据“并非目标”；所有用户被敦促重置密码并启用双重身份验证。同一周，一名匿名“举报人”向安全记者表示，此次泄露是灾难性的，且正被掩盖。Ubiquiti的股价在两天内从376.78美元跌至298.30美元——跌幅约20%。

该阴谋于2021年12月1日败露，曼哈顿联邦检察官起诉了Ubiquiti工程师Nickolas Sharp。据称，他在2020年12月申请另一份工作后，利用自己的管理员VPN凭据从公司的AWS和GitHub账户下载了数GB数据，应用AWS策略限制日志记录，并删除了自己的VPN会话历史——但一次短暂的连接中断泄露了他的家庭IP地址。他就是那个在2021年1月10日前索要50比特币的匿名“黑客”，在被拒绝后，他泄露了数据并冒充举报人。

股价在两天内从377美元跌至298美元；德国联邦信息安全局（BSI）告知客户更改密码；随后引发了一场诽谤诉讼和一次媒体撤回报道。

一名工程师的合法管理员凭据可以触及一切——源代码、云存储和安全设置——员工与核心资产之间没有任何内部防护措施。

日志并非不可篡改：Sharp利用AWS策略限制了日志记录并清除了他的VPN历史，导致公司无法确定实际发生了什么。

公司在无法描述事件性质之前就进行了披露，而其充满拼写错误的“可能已被访问”邮件读起来像网络钓鱼——这一信息真空招来了攻击者的叙事。

拥有管理员凭据的内部人员比任何黑客都是更大的威胁。保持日志不可篡改，隔离管理员访问权限，并在披露前查明事实——信息真空总会被谎言最响亮的一方填补。

Sharp于2021年12月1日被捕，被控窃取数据并勒索自己的雇主；检察官表示，他对新闻报道的操纵使公司市值蒸发了数十亿美元。2022年8月，安全博主Brian Krebs发表撤回声明并道歉——他的“举报人”消息源正是作案者本人——Ubiquiti对其提起的诽谤诉讼于当年9月庭外和解。这一事件成为任何安全计划都不应跳过的两项控制措施的标准参考案例：不可篡改的审计日志和针对内部人员的特权访问限制。