De Amerikaanse internetprovider Xfinity heeft door een kwetsbaarheid in NetScaler de gegevens van 36 miljoen klanten gelekt. Het is daarmee één van de grootste datalekken in de Verenigde Staten van dit jaar. De gestolen gegevens bestaan uit gebruikersnaam en gehashte wachtwoorden. Voor een onbekend aantal klanten gaat het ook om namen, contactgegevens, de laatste vier cijfers van social-securitynummers, geboortedatum en antwoorden op geheime vragen.

Op 10 oktober kwam NetScaler met een update voor een kritieke kwetsbaarheid (CVE-2023-4966) in NetScaler ADC en NetScaler Gateway, ook aangeduid als Citrix Bleed. Via het lek kan een ongeauthenticeerde aanvaller toegang tot geheugen van het systeem krijgen en zo sessietokens van gebruikers stelen. Met deze tokens kan vervolgens toegang tot het systeem worden verkregen, zonder dat hiervoor nog inloggegevens of multifactorauthenticatie is vereist. Een aanvaller kan de gestolen session key opnieuw afspelen en zo toegang krijgen.

NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt.

Al voor het uitkomen van de update bleek dat aanvallers misbruik van het beveiligingslek maken, maar dat was toen nog niet bij NetScaler bekend. Inmiddels vinden er grootschalige aanvallen plaats, waarbij onder andere de criminelen achter de LockBit-ransomware het op kwetsbare systemen hebben voorzien. Xfinity bleek de beschikbaar gestelde update niet op tijd te hebben geïnstalleerd, want voor het uitrollen van de patch hadden aanvallers al tussen 16 en 19 oktober toegang tot de NetScaler-systemen gekregen.

Verder onderzoek wees uit dat de aanvallers ook gegevens van klanten hadden gestolen. In een datalekmelding aan de procureur-generaal van de Amerikaanse staat Maine meldt de internetprovider dat het om de data van 36 miljoen klanten gaat. Om klanten te beschermen heeft Xfinity van alle Xfinity-accounts het wachtwoord gereset en roept klanten op om voor hun account multifactorauthenticatie in te schakelen.