Surfshark hat einen Sicherheitsvorfall offengelegt, der einen internen Testserver und ein separates Proxy-System betraf. Nach Angaben des VPN-Anbieters führte ein Konfigurationsfehler dazu, dass die Testumgebung über das Internet erreichbar war.
Eine unbefugte Partei verschaffte sich anschließend Zugang zum Server und griff auf interne Informationen zu. Das offengelegte Material umfasste Dienstkonfigurationen, Zugangsdaten für Build-Prozesse, Teile von Systembinärdateien und den Codeverlauf.
Surfshark zufolge erreichten die Angreifer jedoch nicht die produktive VPN-Infrastruktur des Unternehmens. Es wurden auch keine Hinweise darauf gefunden, dass bei dem Vorfall Kundendaten, Browseraktivitäten oder VPN-Datenverkehr offengelegt wurden.
Konfigurationsfehler machte Testserver zugänglich
Surfshark führte den Sicherheitsvorfall auf menschliches Versagen zurück. Ein interner Server, der von den Entwicklungsteams des Unternehmens genutzt wurde, war falsch konfiguriert und dadurch über das öffentliche Internet erreichbar.
Die Testumgebung enthielt Informationen zu den Entwicklungs- und Build-Prozessen des Unternehmens. Dazu gehörten Systemkonfigurationen und Zugangsdaten, die während der Softwareentwicklung verwendet wurden.
Surfshark nannte nicht die konkreten Binärdateien, Dienste, Dateien oder Zugangsdaten, auf die die Angreifer zugriffen. Daher bleibt unklar, wie sensibel einige der offengelegten Informationen tatsächlich waren.
Das Unternehmen bestätigte jedoch, dass der Server von seinen produktiven VPN-Systemen getrennt war.
Angreifer griffen auch auf einen Proxy-Server zu
Die unbefugte Partei verschaffte sich außerdem Zugang zu einem weiteren Server, der zur Optimierung der Zugänglichkeit von Inhalten eingesetzt wurde. Dieser Server fungierte als Proxy, konnte laut Surfshark jedoch nicht auf sensible Kundeninformationen zugreifen.
Nach Angaben des Unternehmens enthielt der Proxy-Server weder Benutzeridentitäten noch IP-Adressen oder Verschlüsselungsschlüssel. Er hatte außerdem keinen Zugriff auf den Browserdatenverkehr der Kunden.
Surfshark erklärte zudem, dass das Unternehmen VPN-Datenverkehr und Browseraktivitäten weder protokolliert noch speichert. Diese Informationen standen den Angreifern auf den kompromittierten Systemen daher nicht zur Verfügung.
Der Vorfall führte auch zu keinen Veränderungen an Surfshark-Apps oder Browsererweiterungen, die auf den Geräten der Kunden installiert waren.
Vorfall blieb auf separate Systeme beschränkt
Surfshark entdeckte die verdächtigen Aktivitäten am 31. August 2026. Das Unternehmen dämmte den Vorfall bis zum 2. September ein und schloss die Behebung drei Tage später ab.
Die Untersuchung ergab keine Hinweise darauf, dass sich die Angreifer von den offengelegten Servern in andere Bereiche des Netzwerks bewegten. Darüber hinaus stellte Surfshark keinen Missbrauch der kompromittierten Zugangsdaten fest.
Die Produktionsinfrastruktur arbeitete weiterhin getrennt von der betroffenen Umgebung. Daher blieben laut Unternehmen der VPN-Dienst und die Kundenkonten sicher.
Offengelegte Zugangsdaten für Build-Systeme können dennoch erhebliche Risiken darstellen, wenn Angreifer sie nutzen, um in Entwicklungssysteme einzudringen oder Software zu manipulieren. Unternehmen müssen deshalb auch Testumgebungen schützen, selbst wenn diese Systeme keine Kundendaten direkt verarbeiten.
Surfshark rotierte Zugangsdaten und widerrief Tokens
Nach dem Surfshark-Servereinbruch rotierte das Unternehmen alle internen Zugangsdaten, die möglicherweise offengelegt worden waren. Außerdem wurden betroffene Zugriffstokens widerrufen.
Darüber hinaus führte Surfshark eine stärkere Bedrohungserkennung und Aktivitätsüberwachung ein. Das Unternehmen härtete seine Systeme zusätzlich, um das Risiko eines ähnlichen Vorfalls zu reduzieren.
Der VPN-Anbieter plant nun, Sicherheitskontrollen auf Produktionsniveau auch auf seine Testumgebungen anzuwenden. Diese Änderung soll Sicherheitslücken zwischen Live-Systemen und der Entwicklungsinfrastruktur schließen.
Surfshark verbessert außerdem den Umgang mit Zugangsdaten innerhalb seiner Build-Prozesse. Darüber hinaus hat das Unternehmen eine unabhängige Prüfung seiner gesamten Infrastruktur in Auftrag gegeben.
Kunden müssen keine Maßnahmen ergreifen
Auf Grundlage der bislang veröffentlichten Erkenntnisse müssen Surfshark-Nutzer weder ihre Passwörter ändern noch andere Schutzmaßnahmen ergreifen. Nach Angaben des Unternehmens wurden bei dem Sicherheitsvorfall keine Kontodaten oder persönlichen Informationen offengelegt.
Nutzer sollten dennoch auf verdächtige Nachrichten oder unerwartete Kontoaktivitäten achten. Surfshark hat jedoch keine Hinweise auf Angriffe gegen Kunden infolge dieses Vorfalls gemeldet.
Die Untersuchung dauert weiterhin an. Das Unternehmen hat angekündigt, weitere Informationen zu veröffentlichen, falls zusätzliche Erkenntnisse auftauchen, die Nutzer betreffen könnten.
Bislang hält Surfshark daran fest, dass der Sicherheitsvorfall auf seine internen Test- und Proxy-Systeme beschränkt blieb. Nach Angaben des Unternehmens erreichten die Angreifer weder Kundendaten noch produktive VPN-Server oder gespeicherte Browserdaten.
0 Kommentare zu „Surfshark-Servereinbruch legte Test- und Proxy-Systeme offen“