La Comisión Federal de Comercio (FTC) ha ordenado a GoDaddy, el gigante del alojamiento web con sede en Arizona, que implemente medidas de seguridad básicas como las API HTTPS y la autenticación multifactor obligatoria. Esta decisión se tomó tras los cargos de que la empresa no protegió sus servicios contra ataques desde 2018.
Prácticas de seguridad insuficientes
Según la denuncia presentada por la FTC, GoDaddy falló en implementar prácticas de seguridad estándar. Entre las deficiencias mencionadas se incluyen: no utilizar autenticación multifactor (MFA), no gestionar actualizaciones de software, no registrar eventos relacionados con la seguridad y no monitorear amenazas activamente.
Además, la empresa no protegió las conexiones a los servicios que brindan acceso a datos de clientes. La FTC señaló que estas prácticas engañaron a millones de usuarios al hacerles creer que sus datos estaban seguros.
Infracciones de seguridad entre 2019 y 2022
La FTC afirma que las fallas en la seguridad de GoDaddy provocaron múltiples infracciones importantes. Entre ellas, se destacan incidentes como el acceso no autorizado a sitios web y datos de clientes.
En febrero de 2023, se reveló que atacantes robaron el código fuente e instalaron malware en servidores comprometidos tras vulnerar el entorno cPanel. La empresa descubrió la infracción solo a principios de diciembre de 2022.
La FTC también mencionó que las violaciones de seguridad reveladas en noviembre de 2021 y marzo de 2020 estaban vinculadas a esta campaña. La infracción de noviembre afectó a 1,2 millones de clientes de WordPress administrado.
Requisitos de la FTC
La FTC exige que GoDaddy establezca un programa sólido de seguridad de la información y contrate un asesor externo para revisiones bienales. Además, se le pide que implemente MFA obligatoria para todos los clientes, empleados y contratistas.
La medida incluye la obligación de utilizar al menos un método de autenticación que no requiera el uso de un número de teléfono, como integraciones con aplicaciones de autenticación o claves de seguridad.
Historial de violaciones en otros casos
La FTC también ordenó a Marriott International y Starwood Hotels implementar programas sólidos de seguridad de datos tras las violaciones masivas de 2014 y 2018, que expusieron más de 340 millones de registros de huéspedes.
Marriott llegó a un acuerdo con la FTC en octubre de 2014 y acordó pagar $52 millones a 49 estados para resolver reclamos relacionados con estas violaciones.