GoDaddy का बहु-वर्षीय उल्लंघन: कैसे घुसपैठिए दुनिया के सबसे बड़े रजिस्ट्रार में तीन साल तक डेरा डाले रहे

एक डोमेन रजिस्ट्रार सबसे उबाऊ कंपनी है जिस पर आप पूरी तरह निर्भर रहेंगे।

आप इसे साल में एक बार भुगतान करते हैं। आप शायद दो बार लॉग इन करते हैं। और इसके बदले यह एकमात्र चीज़ रखती है जो आपके व्यवसाय को पहुँचने योग्य बनाती है: यह कहने का अधिकार कि "यह नाम यहाँ इंगित करता है।" ईमेल, वेबसाइट, लॉगिन, भुगतान — आपके पास मौजूद हर डिजिटल धागा उस व्यक्ति के माध्यम से चलता है जो आपके डोमेन का DNS नियंत्रित करता है। अधिकांश लोग चेकआउट के बाद उस कंपनी के बारे में फिर कभी नहीं सोचते।

दो से अधिक वर्षों तक, एक परिष्कृत खतरा अभिनेता समूह GoDaddy के बारे में लगातार सोचता रहा। वे उसके अंदर रह रहे थे।

GoDaddy पृथ्वी पर सबसे बड़ा डोमेन रजिस्ट्रार है, जिसके पास करोड़ों ग्राहक हैं और 80 मिलियन से अधिक डोमेन प्रबंधन में हैं। और कम से कम 2019 के अंत से 2022 के अंत तक, GoDaddy को अब विश्वास है कि एक ही लगातार घुसपैठिया बार-बार उसके सिस्टम में घूमता रहा — स्रोत कोड चुराते हुए, 1.2 मिलियन Managed WordPress ग्राहकों का डेटा उजागर करते हुए, और एक समय कुछ यादृच्छिक ग्राहक वेबसाइटों को चुपचाप दुर्भावनापूर्ण गंतव्यों पर पुनर्निर्देशित करते हुए। कंपनी ने इसे एकल सेंधमारी नहीं कहा। इसने, U.S. Securities and Exchange Commission के साथ एक फाइलिंग में, एक परिष्कृत खतरा अभिनेता समूह द्वारा बहु-वर्षीय अभियान का वर्णन किया।

यही दिखता है जब आपके स्टैक के नीचे की उबाऊ कंपनी लाखों अन्य लोगों के लिए भी विफलता का एकल बिंदु निकलती है।

एक रजिस्ट्रार लाखों के लिए विफलता का एकल बिंदु क्यों है

केंद्रीकरण ही एक मास-मार्केट रजिस्ट्रार का पूरा व्यवसाय मॉडल है। अर्थशास्त्र केवल विशाल पैमाने पर काम करता है: एक प्रोविजनिंग सिस्टम, एक कंट्रोल पैनल, एक क्रेडेंशियल स्टोर, एक होस्टिंग सर्वर का सेट, सभी की सेवा करते हुए। यही दक्षता GoDaddy को सुविधाजनक बनाती है — और यही वह बनाती है जो एक हमलावर के अंदर आने पर इसे खतरनाक बनाती है।

जब एक छोटे व्यवसाय को हैक किया जाता है, तो एक व्यवसाय का एक बुरा सप्ताह होता है। जब लाखों व्यवसायों के डोमेन, वेबसाइट और प्रमाणपत्र रखने वाले प्लेटफ़ॉर्म को हैक किया जाता है, तो विस्फोट की सीमा अब एक कंपनी नहीं है। यह वह सभी हैं जिन्होंने उस कंपनी पर अपना नाम भरोसा किया था।

यही रजिस्ट्रार जोखिम के केंद्र में असमानता है। ग्राहक GoDaddy को अपने निजी डैशबोर्ड के रूप में अनुभव करता है। हमलावर इसे एक तिजोरी के रूप में अनुभव करता है जो एक साथ लाखों चाबियाँ रखती है — और आपको ताला केवल एक बार तोड़ना होता है।

यहाँ "विफलता के एकल बिंदु" का अर्थ स्पष्ट करना उचित है, क्योंकि यह एक साथ दो परतों पर काम करता है। पहली है रजिस्ट्रार परत: वह प्राधिकरण जो तय करता है कि आपके डोमेन का DNS कहाँ इंगित करता है। यदि वह समझौता हो जाता है, तो एक हमलावर आपके पूरे डोमेन — ईमेल सहित — को कहीं और पुनर्निर्देशित कर सकता है। दूसरी है होस्टिंग और प्रमाणपत्र परत: वे सर्वर, क्रेडेंशियल और SSL कुंजियाँ जो आपकी वास्तविक वेबसाइट को सेव और प्रमाणित करती हैं। GoDaddy उन दुर्लभ कंपनियों में से एक है जो एक ही ग्राहक के लिए एक ही समय में दोनों परतों पर बैठती है। इसलिए जब एक ही घुसपैठिए ने अभियान के दौरान उसके प्रोविजनिंग सिस्टम, होस्टिंग सर्वर और प्रमाणपत्र सामग्री को छुआ, तो वे असंबंधित पीड़ितों के बीच नहीं जा रहे थे। वे एक ऐसी कंपनी के अंदर घूम रहे थे जो एक ही लाखों दरवाजों की कई अलग-अलग प्रकार की चाबियाँ रखती थी।

समयरेखा: 2019 → 2022

GoDaddy की कहानी का परेशान करने वाला हिस्सा कोई एकल घटना नहीं है। यह यह है कि घटनाएं, एक साथ जांची गईं, वर्षों लंबे कब्जे में पंक्तिबद्ध होती हैं। GoDaddy ने खुद ने बिंदुओं को केवल पूर्वव्यापी में जोड़ा।

2019 के अंत / मार्च 2020 — पहला पैर जमाना। 2020 में प्रकट किए गए उल्लंघन के बाद, GoDaddy ने 28,000 ग्राहकों को सतर्क किया कि एक हमलावर ने अक्टूबर 2019 में उनके वेब होस्टिंग खाते के क्रेडेंशियल का उपयोग किया SSH के माध्यम से उनके होस्टिंग खातों से जुड़ने के लिए। हमलावर को zero-day की आवश्यकता नहीं थी; उसे क्रेडेंशियल चाहिए थे, और उसे मिल गए। बाद में सुरक्षा रिपोर्टिंग ने इस लहर को सोशल इंजीनियरिंग से जोड़ा — हमलावर फोन पर खुद को दूसरा बताकर स्टाफ और ग्राहकों को एक्सेस सौंपने के लिए धोखा देते थे। जैसा GoDaddy ने InformationWeek को संक्षेप में बताया, मार्च 2020 में, एक खतरा अभिनेता ने 28,000 ग्राहकों के लॉगिन क्रेडेंशियल से समझौता किया।

सितंबर–नवंबर 2021 — सबसे बड़ा। 22 नवंबर 2021 को, GoDaddy ने अपने Managed WordPress होस्टिंग वातावरण के उल्लंघन का खुलासा किया। गणित क्रूर थी: घटना GoDaddy द्वारा 17 नवंबर 2021 को खोजी गई — लेकिन हमलावरों के पास कम से कम 6 सितंबर 2021 से पहुँच थी। यह लगभग ढाई महीने की अनुपस्थित उपस्थिति है। जैसा TechCrunch ने बताया, अनधिकृत व्यक्ति ने लगभग 6 सितंबर के आसपास GoDaddy के सिस्टम तक पहुँच प्राप्त करने के लिए एक समझौता किए गए पासवर्ड का उपयोग किया।

दिसंबर 2022 — मैलवेयर और पुनर्निर्देशन। एक साल बाद, पैटर्न फिर उभरा। GoDaddy को दिसंबर 2022 की शुरुआत में ग्राहकों की रिपोर्ट मिली कि उनकी साइटें यादृच्छिक डोमेन पर पुनर्निर्देशित करने के लिए उपयोग की जा रही हैं। इसके बाद हुई जांच ने फरवरी 2023 का खुलासा उत्पन्न किया — और यह एहसास कि यह कोई नया हमलावर नहीं था, बल्कि वही अभियान था जो 2020 से आवर्ती था।

क्रम से पढ़ें, ये तीन उल्लंघन नहीं हैं। ये एक दीर्घकालिक निवासी की तीन झलकियाँ हैं।

समयरेखा को इतना आकर्षक बनाने वाली बात झलकियों के बीच की खाई है। महीने, फिर एक साल। प्रत्येक व्यक्तिगत घटना, उस समय जब इसे प्रकट किया गया था, एक शुरुआत और अंत के साथ एक अलग घटना की तरह दिखती थी — यहाँ पासवर्ड रीसेट, वहाँ प्रमाणपत्र पुनः जारी करना। यह केवल तब था जब GoDaddy के जांचकर्ताओं ने दिसंबर 2022 के मैलवेयर को उसके टूलिंग और तरीकों के माध्यम से वापस खोजा कि घटनाएं संयोग की तरह दिखना बंद हो गईं और एक पैटर्न की तरह दिखने लगीं। पूरे खुलासे में सबसे भयानक वाक्य यह शांत स्वीकृति है कि यह वर्षों से चल रहा था इससे पहले कि किसी ने इसे जोड़ा।

क्या उजागर हुआ — और वे वेबसाइटें जो अपने मालिकों के खिलाफ हो गईं

2021 का Managed WordPress उल्लंघन वह घटना है जिसमें सबसे स्वच्छ, सबसे मात्रात्मक नुकसान है। GoDaddy की अपनी सूचना, SEC के साथ दाखिल की गई, ने इसे सादे तरीके से रखा।

1.2 मिलियन तक सक्रिय और निष्क्रिय Managed WordPress ग्राहकों का ईमेल पता और ग्राहक संख्या उजागर हुई। इससे भी बुरा, प्रोविजनिंग के समय सेट किया गया मूल WordPress Admin पासवर्ड उजागर हुआ — उन WordPress इंस्टॉल की मास्टर कुंजी। सक्रिय ग्राहकों के लिए, sFTP और डेटाबेस उपयोगकर्ता नाम और पासवर्ड उजागर हुए, वे क्रेडेंशियल जो आपको फाइलें अपलोड करने और डेटाबेस को सीधे पढ़ने देते हैं। और सबसे संवेदनशील उपसमूह के लिए, SSL private key उजागर हुई — वह क्रिप्टोग्राफिक रहस्य जो साबित करता है कि एक साइट वास्तव में खुद है।

इन्हें एक साथ रखें और आपके पास सबसे बुरा किट है। Admin पासवर्ड आपको साइट में ले जाता है। sFTP और डेटाबेस एक्सेस आपको फाइल और डेटा परत पर इसे बदलने देता है। और SSL private key — जैसा Wordfence ने उल्लंघन के अपने विश्लेषण में नोट किया — एक हमलावर को किसी साइट का प्रतिरूपण करने या उसके ट्रैफ़िक को डिक्रिप्ट करने दे सकती है। एक रजिस्ट्रार जिसे विश्वास को लंगर करना था, उसने इसके बजाय एक घुसपैठिए को उसे जाली करने की सामग्री दे दी।

उजागर होने की सीमा आपको बताती है कि यह एक सामान्य साइट हैक से किस तरह अलग था। एक सामान्य हैक एक साइट से समझौता करता है। यहाँ, एक साझा प्रोविजनिंग सिस्टम में एकल सेंधमारी ने एक ही गति में दस लाख से अधिक की चाबियाँ उजागर कीं।

फिर वह हिस्सा है जो एक डेटा उल्लंघन को कुछ वास्तविक बनाता है: ग्राहक वेबसाइटें जो आगंतुकों को दुर्भावनापूर्ण साइटों पर पुनर्निर्देशित करने लगीं। दिसंबर 2022 में, एक अनधिकृत तृतीय पक्ष ने हमारे cPanel होस्टिंग सर्वर पर पहुँच प्राप्त की और मैलवेयर स्थापित किया, GoDaddy ने कहा, और मैलवेयर ने बीच-बीच में यादृच्छिक ग्राहक वेबसाइटों को दुर्भावनापूर्ण साइटों पर पुनर्निर्देशित किया। "बीच-बीच में" और "यादृच्छिक" यहाँ क्रूर शब्द हैं। एक पुनर्निर्देशन जो हर बार फायर होता है, उसे पकड़ना आसान है। एक पुनर्निर्देशन जो कभी-कभी, कुछ आगंतुकों के लिए, कुछ साइटों पर फायर होता है, वह एक छोटे व्यवसाय के मालिक की तरह है जो रिपोर्ट करता है और फिर पुनः उत्पन्न नहीं कर सकता — और जिसे उनका होस्ट एक विचित्र के रूप में खारिज कर सकता है। यह हमले में बनाया गया छलावरण है।

यह कैसे हुआ: उधार ली गई चाबियाँ, टूटे ताले नहीं

GoDaddy की कहानी का सबसे असुविधाजनक पाठ यह है कि प्रवेश कितना अनाकर्षक था।

इस के केंद्र में कोई विदेशी zero-day नहीं है। पहली लहर चुराए गए क्रेडेंशियल पर चली। 2021 का उल्लंघन एक समझौता किए गए पासवर्ड पर चला। Krebs on Security ने अभियान के अपने विश्लेषण को "When Low-Tech Hacks Cause High-Impact Breaches" शीर्षक दिया — बिल्कुल इसलिए क्योंकि प्रभाव प्रवेश की परिष्कृतता से इतना अनुपातहीन था। यदि कोई आपको चाबी दे दे तो आपको तिजोरी को हराने की जरूरत नहीं है।

एक बार अंदर, हमलावर ने धैर्यपूर्ण, पेशेवर काम किया: वे रुके रहे। अभियान के दौरान GoDaddy ने कहा कि अभिनेताओं ने हमारे सिस्टम पर मैलवेयर स्थापित किया और GoDaddy के भीतर कुछ सेवाओं से संबंधित कोड के टुकड़े प्राप्त किए। चुराया गया स्रोत कोड एकमुश्त नुकसान नहीं है; यह एक नक्शा है। यह एक हमलावर को बताता है कि वे जिन सिस्टम के अंदर पहले से हैं वे वास्तव में कैसे काम करते हैं — कमजोर जोड़ कहाँ हैं, प्रमाणीकरण कैसे प्रवाहित होता है, आगे क्या लक्षित करना है। लगातार मैलवेयर के साथ मिलकर, यह तोड़-फोड़ और दीर्घकालिक कब्जे के बीच का अंतर है। जैसा BleepingComputer ने GoDaddy के अपने निष्कर्ष को संक्षेप में कहा, खतरा अभिनेता वर्षों में बार-बार कंपनी के सिस्टम पर मैलवेयर स्थापित करने और कोड चुराने में सक्षम थे।

पता लगाने का अंतर कहानी का दूसरा आधा हिस्सा है। 2021 की घटना में ढाई महीने। पूरे अभियान में वर्षों। हमलावर GoDaddy की सुरक्षा से अधिक तेज़ नहीं था जितना उसकी निगरानी से शांत था।

प्रतिक्रिया और परिणाम

2021 के उल्लंघन के लिए GoDaddy की तत्काल तकनीकी प्रतिक्रिया मानक कार्यपुस्तिका थी: उजागर sFTP और डेटाबेस पासवर्ड रीसेट करें, और उन ग्राहकों के लिए नए SSL प्रमाणपत्र जारी करना और स्थापित करना शुरू करें जिनकी private keys लीक हुई थीं। फरवरी 2023 के खुलासे के लिए, कंपनी ने कहा कि उसने बाहरी फोरेंसिक विशेषज्ञों और कानून प्रवर्तन को शामिल किया, और अभिनेता को एक परिष्कृत, संगठित समूह के रूप में वर्णित किया जो होस्टिंग प्रदाताओं को लक्षित कर रहा था — कोई अकेला अवसरवादी नहीं।

लेकिन प्रतिष्ठात्मक और नियामक परिणाम घटना प्रतिक्रिया से अधिक समय तक चले। उल्लंघनों की श्रृंखला ने U.S. Federal Trade Commission की जांच खींची, जिसने 2025 में डेटा सुरक्षा विफलताओं पर GoDaddy के साथ एक आदेश अंतिम रूप दिया, यह आरोप लगाते हुए कि कंपनी ने सुरक्षा आश्वासनों के साथ अपनी सेवाओं की मार्केटिंग करने के बावजूद उचित सुरक्षा लागू करने में विफल रही, और इसे एक व्यापक सूचना-सुरक्षा कार्यक्रम स्थापित करने की आवश्यकता थी। एक उल्लंघन जो एक उधार लिए गए पासवर्ड से शुरू हुआ, वर्षों बाद, एक संघीय सहमति आदेश के रूप में समाप्त हुआ।

प्रकटीकरण समयरेखा ने आलोचना को भी आकर्षित किया: बहु-वर्षीय फ्रेमिंग केवल फरवरी 2023 में एक SEC 10-K फाइलिंग के माध्यम से सार्वजनिक हुई, जिसका अर्थ था कि ग्राहकों को पता चला कि 2020, 2021 और 2022 की घटनाएं प्रत्येक के व्यक्तिगत रूप से रिपोर्ट होने के काफी बाद जुड़ी हुई थीं।

उस अनुक्रमण में एक गहरी जवाबदेही समस्या दफन है। प्रत्येक खुलासे ने, अपने आप में, एक छोटी प्रतिक्रिया को आमंत्रित किया — एक पासवर्ड बदलें, एक नया प्रमाणपत्र स्वीकार करें, आगे बढ़ें। लेकिन एक ग्राहक जिसे तीन अलग "अलग-थलग घटना" कहानियाँ बताई गई थीं, उसके पास यह समझने का कोई तरीका नहीं था कि वे शायद एक ऐसे लगातार प्रतिद्वंद्वी से निपट रहे हैं जो वर्षों से उनके डेटा के पास था। एक उल्लंघन की फ्रेमिंग यह आकार देती है कि डाउनस्ट्रीम के लोग इसे कितनी गंभीरता से लेते हैं। तीन छोटी आग एक लंबे समय से जलती हुई आग से बहुत अलग तरह से पढ़ी जाती हैं।

यह रजिस्ट्रार केंद्रीकरण जोखिम के बारे में क्या सिखाता है

विशेषताओं को हटा दें और GoDaddy अभियान इस बात की एक क्लिनिक है कि रजिस्ट्रार केंद्रीकरण अपनी खुद की जोखिम श्रेणी क्यों है।

1. प्लेटफ़ॉर्म पुरस्कार है। हमलावरों को आपको लक्षित नहीं करना है। वे उस कंपनी को लक्षित करते हैं जो आपको और एक मिलियन अन्य को रखती है। आपकी सुरक्षा स्थिति शायद ही मायने रखती है यदि आपके रजिस्ट्रार का प्रोविजनिंग सिस्टम नरम लक्ष्य है — आप इसके विस्फोट त्रिज्या को चाहे या न चाहें विरासत में लेते हैं।

2. क्रेडेंशियल सामने का दरवाजा हैं, exploits नहीं। एक समझौता किए गए पासवर्ड ने यहाँ अधिकांश नुकसान किया। बहु-कारक प्रमाणीकरण, क्रेडेंशियल स्वच्छता, और आक्रामक विसंगति पहचान किसी भी एकल फैंसी रक्षा से अधिक महत्वपूर्ण हैं — क्योंकि प्रवेश बिंदु लगभग हमेशा उधार ली गई पहुँच है, टूटा हुआ ताला नहीं।

3. निवास समय वास्तविक मीट्रिक है। डेटा का उजागर होना बुरा है। एक हमलावर आपके प्रोविजनिंग सिस्टम में महीनों या वर्षों तक अनुपस्थित रूप से रहना विनाशकारी रूप से बुरा है, क्योंकि दृढ़ता जोड़ती है। नुकसान इस बात का कार्य है कि वे कितने समय तक रहे, न केवल इस बात का कि वे अंदर आए।

4. केंद्रीकृत रहस्य केंद्रीकृत विफलता हैं। Admin पासवर्ड, sFTP क्रेडेंशियल, और SSL private keys एक स्थान पर, पुनर्प्राप्य, संग्रहीत करना सुविधाजनक है जब तक यह एकल सबसे बुरी स्थिति वाला नुकसान नहीं है। जब एक ही स्टोर 1.2 मिलियन ग्राहकों की चाबियाँ रखता है, तो एक उल्लंघन 1.2 मिलियन उल्लंघन है।

5. वेबसाइट पुनर्निर्देशन ग्राहक का दुःस्वप्न है, रजिस्ट्रार का नहीं। जब GoDaddy के सर्वर ने ग्राहक साइटों को दुर्भावनापूर्ण गंतव्यों पर पुनर्निर्देशित किया, तो ग्राहकों के ब्रांड, ग्राहक और SEO ने भुगतान किया — भले ही उन्होंने कुछ गलत नहीं किया। केंद्रीकरण जोखिम काफी हद तक किसी और की गलती से नुकसान होने का जोखिम है।

इनमें से कोई भी यह नहीं कहता कि "कभी भी बड़े रजिस्ट्रार का उपयोग न करें।" पैमाना वास्तविक सुरक्षा निवेश लाता है, और छोटे प्रदाता भी विफल होते हैं। इसका मतलब यह समझना है कि जब आप अपना डोमेन एक प्लेटफ़ॉर्म को सौंपते हैं, तो आप उस प्लेटफ़ॉर्म के सबसे बुरे दिन को अपने खुद के संभावित संस्करण के रूप में स्वीकार कर रहे हैं।

Namefi का दृष्टिकोण

GoDaddy अभियान जो सबसे गहरी समस्या उजागर करता है वह मैलवेयर नहीं है। यह यह है कि एक डोमेन का स्वामित्व और नियंत्रण पूरी तरह से एक प्रदाता के निजी डेटाबेस में रहता था — एक डेटाबेस जिसे, वर्षों तक, एक घुसपैठिया अंदर से पढ़ सकता था, बदल सकता था और प्रतिरूपित कर सकता था, जबकि वैध मालिकों के पास स्वतंत्र रूप से जानने का कोई तरीका नहीं था।

Namefi एक अलग डिफ़ॉल्ट के आसपास बनाया गया है: डोमेन को इंटरनेट-नेटिव संपत्तियों की तरह व्यवहार करना चाहिए जिनका स्वामित्व सत्यापन योग्य और छेड़छाड़-प्रतिरोधी है, न कि एकल कंपनी के खाता सिस्टम में एक पंक्ति जिसे आप केवल लॉग इन करके और उम्मीद करके पुष्टि कर सकते हैं। टोकनीकृत स्वामित्व "इस डोमेन को वास्तव में कौन नियंत्रित करता है?" प्रश्न को किसी एक प्रदाता के बाहर से उत्तर देने योग्य बनाता है — ऑडिट योग्य, पोर्टेबल, और चुपचाप फिर से लिखना कठिन — जबकि DNS के साथ संगत रहता है ताकि नाम रिज़ॉल्व होता रहे।

यह एक रजिस्ट्रार को हैक-प्रूफ नहीं बनाता। कुछ भी नहीं बनाता। लेकिन यह बदल देता है कि एक उल्लंघन चुपचाप क्या कर सकता है। जब स्वामित्व का प्रमाण केवल उस प्लेटफ़ॉर्म के अंदर नहीं बल्कि एक सत्यापन योग्य, स्वतंत्र परत में रहता है जो समझौता हुई थी, "घुसपैठिया दो साल तक डेटाबेस में रहा" उसी चीज़ के समान नहीं रहता जैसे "घुसपैठिए ने नियंत्रित किया कि कौन क्या स्वामित्व रखता है।" GoDaddy की कहानी यही है जब नियंत्रण और प्रमाण एक ही नाजुक चीज़ हैं, एक स्थान पर रखी गई। सबक यह है कि उन्हें वहाँ रखना बंद करें।

स्रोत और आगे पढ़ना

• BleepingComputer — GoDaddy: Hackers stole source code, installed malware in multi-year breach
• BleepingComputer — GoDaddy data breach hits 1.2 million Managed WordPress customers
• Krebs on Security — When Low-Tech Hacks Cause High-Impact Breaches
• Sophos — GoDaddy admits: Crooks hit us with malware, poisoned customer websites
• The Hacker News — GoDaddy Discloses Multi-Year Security Breach Causing Malware Installations and Source Code Theft
• TechCrunch — GoDaddy says data breach exposed over a million user accounts
• SecurityWeek — GoDaddy Breach Exposes 1.2 Million Managed WordPress Customer Accounts
• InformationWeek — GoDaddy Hit with Multiyear Breach
• BankInfoSecurity — GoDaddy Confirms Breach Affects 1.2 Million Customers
• Wordfence — GoDaddy Breach — Plaintext Passwords — 1.2M Affected
• U.S. Federal Trade Commission — FTC Finalizes Order with GoDaddy over Data Security Failures
• GoDaddy (via SEC) — Notice of Security Incident, November 22, 2021