Surfshark sufre una brecha en un servidor de pruebas mal configurado
Un error humano dejó accesible desde internet un entorno de pruebas interna con configuraciones y credenciales de compilación. La VPN dice que producción y los datos de clientes quedaron fuera.
Surfshark ha reconocido que unos atacantes accedieron a un servidor de pruebas interno que llevaba expuesto a internet por un error de configuración. La empresa asegura que la brecha no afectó a la infraestructura de producción ni a los datos de sus clientes, pero el entorno comprometido contenía configuraciones de servicio y credenciales asociadas a sus procesos de compilación.
Qué quedó al descubierto
El fallo fue humano: una máquina de pruebas que usan los equipos de ingeniería quedó accesible desde internet, según la explicación que la compañía ha publicado en su web. Dentro de ese entorno había además porciones de binarios del sistema y parte del historial de código.
El intruso también llegó a una segunda máquina, dedicada a la optimización del acceso a contenidos. Esa hacía de proxy y, según Surfshark, no tenía acceso a datos sensibles: ni identidad de usuarios, ni direcciones IP, ni claves de cifrado, ni tráfico de navegación.
La compañía no ha detallado qué binarios, configuraciones, servicios, credenciales o ficheros concretos quedaron expuestos. Lo que sí confirma es que la infraestructura de la VPN en producción y los datos de clientes no se vieron afectados. En su comunicado insiste en que esa máquina nunca albergó información personal, que el tráfico de la VPN no se registra ni se retiene y que ni las aplicaciones ni las extensiones de navegador de los usuarios se han modificado.
Cronología y respuesta
Surfshark detectó actividad sospechosa el 31 de agosto, contuvo el incidente el 2 de septiembre y cerró la remediación tres días después. No hay indicios de que las credenciales expuestas se hayan utilizado ni de que el compromiso se extendiera a otros sistemas.
Las medidas adoptadas incluyen la rotación de todas las credenciales internas que pudieran haberse visto afectadas, la revocación de los tokens expuestos y más detección de amenazas y monitorización de actividad. La empresa dice que aplicará controles de seguridad de nivel producción a sus entornos de prueba, mejorará la gestión de credenciales en el proceso de compilación y ha encargado una auditoría independiente de su infraestructura.
Para el usuario, la lectura práctica es que no hay nada que hacer: Surfshark afirma que no hace falta tomar ninguna medida para proteger la cuenta, más allá de la vigilancia habitual ante comunicaciones no solicitadas.
Un servidor de pruebas mal configurado, y con credenciales de compilación dentro, sigue siendo una vía de entrada útil para un atacante aunque por ahí no pase tráfico de clientes. La compañía promete ampliar la información si la investigación en curso encuentra algo relevante.
