Netwerkfabrikant Ubiquiti heeft bevestigd dat een aanvaller eind vorig jaar broncode en inloggegevens heeft buitgemaakt waarmee vervolgens werd geprobeerd om het bedrijf af te persen. Klantgegevens zijn voor zover nu bekend niet door de aanvaller benaderd, zo laat Ubiquiti in een nieuwe verklaring over het datalek weten, die volgt op een bericht dat de netwerkfabrikant de werkelijke impact van het datalek voor klanten heeft verzwegen.

Ubiquiti waarschuwde klanten op 11 januari voor een mogelijk datalek nadat onbevoegden toegang tot verschillende systemen van het netwerkbedrijf hadden gekregen. Deze systemen werden bij een externe niet nader genoemde cloudprovider gehost. Een klokkenluider die naar eigen zeggen Ubiquiti bijstond na ontdekking van de aanval kwam tegenover it-journalist Brian Krebs met een heel ander verhaal.

Volgens de klokkenluider had het bedrijf het verhaal over de externe cloudprovider opzettelijk verzonnen om te doen alsof de third-party cloudprovider risico liep en Ubiquiti slechts een slachtoffer daarvan was geworden. In werkelijkheid was het netwerkbedrijf zelf een direct doelwit van de aanval en was de impact daarvan vele malen groter dan in de waarschuwing aan klanten werd voorgesteld.

Zo zou de aanvaller toegang tot inloggegevens hebben gekregen die in het LastPass-account van een Ubiquiti-medewerker waren opgeslagen. Daarmee kon de aanvaller op alle Amazon Web Services-accounts van het netwerkbedrijf als root administrator inloggen. Het ging onder andere om alle S3-buckets die voor de opslag van data worden gebruikt, alle applicatielogs, alle databases, alle inloggegevens van gebruikersdatabases en secrets vereist voor het creëren van single sign-on (SSO) cookies. Tevens had de aanvaller toegang tot de broncode van Ubiquiti.

De aanvaller eiste volgens de klokkenluider 2,8 miljoen dollar om het datalek stil te houden. Ubiquiti ging hier niet op in. De netwerkfabrikant wilde niet tegenover Krebs op de claims van de klokkenluider reageren, maar heeft op het eigen forum, waar klanten massaal om opheldering vroegen, een nieuwe verklaring gegeven. Daarin stelt het bedrijf dat er geen bewijs is gevonden dat de aanvaller klantgegevens heeft benaderd of dat dit het doel was.

Wel bevestigt Ubiquiti dat de aanvaller heeft geprobeerd om het bedrijf met gestolen broncode en inloggegevens af te persen, maar dat deze poging onsuccesvol was. Ook zou de aanvaller nooit hebben laten weten dat hij klantgegevens in bezit had. "Dit, in combinatie met het andere bewijs, is waarom we denken dat klantgegevens niet het doelwit waren, of zijn benaderd, als gevolg van dit incident", zo laat de verklaring weten.

Afsluitend meldt Ubiquiti dat de dader een persoon is met een zeer uitgebreide kennis van de cloudinfrastructuur van de netwerkfabrikant. Aangezien het onderzoek nog gaande is zegt Ubiquiti geen verdere informatie te kunnen delen. Tevens kwam het bedrijf onder vuur te liggen omdat het klanten na ontdekking van het datalek niet heeft gedwongen hun wachtwoord te wijzigen, maar dit alleen adviseerde. In de verklaring worden klanten opnieuw opgeroepen om hun wachtwoord te wijzigen en tweefactorauthenticatie in te schakelen.