Menudo “regalito” de navidad recibió Jonny Platt. Él es un usuario que utiliza Amazon Web Services (AWS), lo que viene a ser los servicios de cloud computing de Amazon.
Resulta que Platt se percató que los costos mensuales de su cuenta aumentaron 150.000%. Ello implica que ahora debe abonar una factura de USD 45.000. Pero… ¿por qué? Porque hackearon su cuenta para minar criptomonedas y no hubo forma de emitir alarma.
AWS, (in)seguridad y reclamos
Una vez que Platt se enteró de lo sucedido, comenta que estuvo las siguientes 23 horas intentando comunicarse con Amazon con su ticket correspondiente… y nadie le atendió.
Una opción que varios podrían suponer es llamar por teléfono. Bueno, el costo de eso en AWS no es “solo 100 dólares al mes” como indica la víctima, sino que se basa en un porcentaje de gasto mensual. Es decir, Platt normalmente gastaba USD 300 mensuales, así que hubiera pagado como máximo USD 100 cada mes. Sin embargo, en la ocasión del hackeo eso le hubiese representado aproximadamente entre USD 2.000 y USD 3.000, según sus estimaciones.
El hackeo se dio mediante una estafa que para el perjudicado no fue tan “sotisficada”. Él mismo explica:
Solo un script bash en Lambda que descarga y ejecuta un minero. Cada 3 minutos, durante un máximo de 15 minutos cada vez. En todas las regiones de AWS del mundo.
Cuando el aviso te lo da otra empresa
Por un lado Platt lamenta que Amazon no haya actuado en esta situación. Y además, otra cosa que le llama la atención es que la empresa de la tarjeta de crédito fue quien le advirtió de la anomalía a través de una alerta.
El sujeto admite que no sabe cómo alguien pudo haberse filtrado. Pero, es un hecho que pasó y ante el cual reclama:
AWS tiene sistemas de alerta que puede utilizar para detectar gastos excesivos. Debería. No existían cuando me inscribí. Y con 200 enlaces en su menú principal, no son fáciles de encontrar.
A ello agrega que él se toma muy en serio el tema de la seguridad y protección de datos. “Pero como fundador en solitario, supongo que AWS tiene más recursos que yo para detectar y combatir los ataques y los abusos de cuentas. Y ciertamente pueden permitirse el lujo de descolgar el teléfono”, añade.
También insta a quienes hospeden con AWS que verifiquen su configuración de seguridad y configuren la detección de anomalías de costos por medio de este enlace. Si no lo hacen, entonces pide que se planteen si realmente AWS es el servicio adecuado para ellos mismos.
Por cierto, Platt notificó otra curiosidad:
La clave del estafador es pública. Puede buscarlo en el sitio de minería.
Con esos USD 45.000 de costo, el maleante — o maleantes — obtuvo una ganancia estimativa de 6 XMR (Monero). Eso serían unos USD 800. ¿Gran lío para poca cantidad y porcentaje? Quizás la respuesta del propio Platt sea la que mejor encaje: “Qué desperdicio”.
Fuente: Genbeta
Honestamente no entiendo la preferencia que tienen por servicios como aws. Son carísimos y en la mayoría de los casos innecesarios.
cuando necesitás procesar algo GRANDE y RÁPIDO , bueno, o creás tu propia granja de servidores (ineficiente y caro) o pagás por el uso de CPU solamente