[torpado]

Buongiorno,
Durante il mese di luglio/agosto, abbiamo avuto molti problemi con gli abusi di qualsiasi tipo. Gli insoluti, gli hackers, gli scans, erano il nostro quotidiano. Questi problemi sono dovuti agli hackers di provenienza Africa del Nord, chi si specializzano nel phishing ed nel rubare Carte di Credito. Ordinano i nomi di domini, gli hosting ed i server dedicati, per realizzare siti di phishing di paypal e di banche. Questo permette loro di recuperare Carte di Credito. Realizzano anche pagine di phishing "altrui" (come Ovh, Free, Orange ecc.) allo scopo di recuperare gli accessi dei clienti che hanno di servizi Internet in Francia. Questo permette loro di avere un'infrastruttura per fare il phishing (per fare la pagina, inviare la posta elettronica, usurpare le identità ecc.).
Allo stesso scopo, fanno uno scan delle reti di fornitori di accesso per trovare le VNC non protette, cosa che permette loro di prendere controllo di un PC a distanza (e frugare nel PC della vittima). Ci sono sottogruppi che si specializzano in ogni attività e ciascuno apporta così il suo contributo al gruppo.

Abbiamo preso delle misure nel mese di settembre per fare fronte a questi problemi. Abbiamo rafforzato l'ordine con una conferma SMS ed una conferma postale per alcuni ordini "sensibili" (i server dedicati e gli RPS).
Abbiamo migliorato l'individuazione di scans in provenienza dalla nostra rete (e verso la nostra rete). Abbiamo rivisto il nostro sistema di pagamento sicuro allo scopo di evitare gli insoluti dovuti ai pagamenti di hackers con le carte rubate.

Il risultato: abbiamo chiuso più di 380 server ordinati da hackers nel mese di giugno, luglio ed agosto e ancora in settembre. Ed in finale, gli hackers si sono trovati senza infrastruttura per abusare sulla rete. Sono andati dai nostri concorrenti, ma siamo i soli sul mercato a consegnare i server in 1 ora. Gli hackers si annoiano. Non possono comandare più poichè si convalidano gli indirizzi via lettera postale. Hanno deciso di attaccare i clienti di Ovh per recuperare gli accessi dei nostri clienti quindi ordinare i server dedicati facendosi passare per clienti già esistenti. Ciò che non serve a nulla poiché tutti gli ordini sono convalidati nello stesso modo. La settimana scorsa, abbiamo avuto 3 phishing del nostro manager v3. Abbiamo immediatamente messo la sicurezza nel manager. Ma come proteggere i nostri clienti, contro se stessi? Ecco alcune risposte prese in considerazione. Ormai avete un messaggio di allarme quando provate a collegarvi al manager a partire da una pagina malevola: tutto è segnato in rosso. Avete una spiegazione sull' indirizzo del manager: dovete essere in un sito in SSL con www.ovh.it
Quando qualcuno si collega al manager, ricevete immediatamente una email di notifica di collegamento (1 notifica/1 IP di collegamento/giorno). Se noi riteniamo che si tratta di un collegamento sospetto, nell'email di notifica avete un link tramite il quale potete immediatamente bloccare il vostro manager. Quando effettuate alcune operazioni (cambiamento di posta elettronica del vostro contatto) l'operazione non è effettuata immediatamente. Ricevete una email che potete accettare o rifiutare. Se non avete fatto nulla, l' operazione si auto-convaliderà al termine di 24 ore. Quando ordinate un RPS o un server dedicato, ogni ordine è analizzato e convalidato da una persona umana (non un robot). Questo può prendere tra 5 minuti e 24 ore (e dunque può ritardare la consegna di server). In caso d'individuazione di scans, il server è automaticamente sospeso, per alcuni scans, il contratto è rotto.

Queste misure hanno portato dei risultati: noi non abbiamo quasi più insoluti. Ieri, la nostra rete non ha generato scans (abbiamo subito degli scans ma non ne abbiamo generato nessuno). Non più phishing da 4 giorni (ne avremo, senza dubbio ma abbiamo ormai un gruppo dedicato a questo problema ventiquattr'ore su ventiquattro ed il necessario è quasi automatico). In breve, cominciamo a fare uscire la testa dall' acqua con questa storia degli hackers. Proteggendosi e proteggendo i nostri clienti, abbiamo "perso" molto tempo sugli sviluppi dei nuovi servizi. Ma nel finale, tutti ci guadagnano poiché la nostra rete è più propria, il cliente meglio protetto ed abbiamo meno insoluti.

Amichevolmente
Octave

[oles@ovh.net]

Bonjour,
Pendant le mois de juillet/août, nous avons eu énormément de problèmes avec
les abus tout genre. Les impayées, les hackeurs, les scans, c'était notre
quotidien. Ces problèmes sont dû aux hackeurs en provenance d'Afrique du Nord,
qui se spécialisent dans le phishing et le vol de CB. Ils commandent les noms
de domaines, les hébergements et les serveurs dédiés, pour mettre en place de
sites de phishing de paypal et de banques. Ceci leur permet de récupérer les
CB. Ils mettent aussi en place de pages de phishing "autre" (comme Ovh, Free,
Orange etc) dans le but de récupérer les accès de clients qui ont de services
Internet en France. Ceci leur permet d'avoir une infrastructure pour faire
le phishing (pour faire la page, envoyer l'email, usurper l'identité etc).
Dans le même but, ils scannent les réseaux de fournisseurs d'accès afin de
trouver les VNC non protégés, ce qui leur permet de prendre contrôle d'un PC
à distance (et fouiller le PC de la victime). Il y a des sous-groupes qui se
spécialisent dans chaque activité et chacun apporte ainsi sa contribution
au groupe.

Nous avons pris de mesures en mois de septembre pour faire face à ces problèmes.
Nous avons renforcé la commande avec une confirmation SMS et une confirmation
postales pour certaines commandes "sensibles" (les serveurs dédiés et les RPS).
Nous avons amélioré la détection de scans en provenance de notre réseau (et
vers notre réseau). Nous avons revu notre système de paiement sécurisé afin
d'éviter les impayées dû aux paiements de hackeurs avec les CB volées.

Le résultat: nous avons fermé plus de 380 serveurs commandées par les hackeurs
courant le mois de Juin, Juillet et Août, parfois encore Septembre. Et au
finale, les hackeurs se sont retrouvés sans infrastructure pour abuser sur le
net. Ils sont allés chez nos concurrents, mais nous sommes les seuls sur le
marché à livrer les serveurs en 1 heure. Les hackeurs ont été très embêtés.
Ils ne peuvent plus commander puisqu'on valide les adresses via une lettre postale.
Ils ont décidé de s'attaquer aux clients d'Ovh afin de récupérer les accès
de nos clients puis commander les serveurs dédiés en se faisant passer par de
clients déjà existant. Ce qui ne sert à rien puisque toutes les commandes sont
validés de la même manière. La semaine passée, nous avons eu 3 phishing de notre
manager v3. Nous avons immédiatement renfoncé la sécurité du manager. Mais comment
protéger nos clients, contre eux-mêmes ? Voici quelques réponses retenues. Désormais
vous avez un message d'alerte quand vous essayez de vous connectez au manager
à partir d'une page malveillante: tout est rouge. Vous avez une explication
sur l'adresse du manager: vous devez être sur un site en SSL avec www.ovh.com
Lorsque quelqu'un se connecte au manager, vous recevez immédiatement un email de
notification de connexion (1 notification / 1 IP de connexion / jour). Si nous
estimons qu'il s'agit d'une connexion suspecte, dans l'email de notification
vous avez un lien via lequel vous pouvez immédiatement bloquer votre manager.
Lorsque vous effectuez certaines opérations (changement d'email de votre contact)
l'opération n'est pas effectuée immédiatement. Vous recevez un email que vous
pouvez accepter ou refuser. Si vous ne faites rien, l'opération s'auto-validera
au bout de 24 heures. Lorsque vous commandez un RPS ou un serveur dédié, chaque
commande est analysée et validée par une personne humaine (pas de robot). Ceci
peut prendre entre 5 minutes et 24 heures (et donc peut retarder la livraison
de serveurs). En cas de détection de scans, le serveur est automatiquement
suspendu, voir pour certains scans, le contrat est cassée.

Ces mesures ont apportées du résultats: nous n'avons presque plus d'impayée.
Hier, notre réseau n'a pas généré de scans (nous avons subit de scans mais nous
n'en avons généré aucun). Plus de phishing depuis 4 jours (nous en aurons, on
n'en doute pas mais nous avons désormais une équipe est dédié à ce problème
24 heures sur 24 et le nécessaire est presque automatiquement).

En bref, nous commençons tout doucement à sortir la tête de l'eau avec cette
histoire de hackeurs. En se protégeant et protégeant nos clients, nous avons
"perdu" beaucoup de temps sur les développements de nouveaux services. Mais
au finale, tout le monde gagne puisque notre réseau est plus propre, le client
mieux protégé et nous avons moins d'impayée.

Amicalement
Octave