Kiteworks ha invitato i propri clienti nel mondo a spegnere temporaneamente i server per una finestra di sei ore, dopo aver ricevuto informazioni ritenute credibili dalle autorità su un possibile attacco imminente contro alcuni sistemi dei clienti.
L’azienda chiarisce che la misura è preventiva e che non risultano compromissioni note. Raccomanda inoltre di usare la versione 9.5.1 di Kiteworks, nella quale dichiara risolte tutte le vulnerabilità conosciute.
La finestra di spegnimento indicata ai clienti
Secondo quanto riportato da Heise e confermato da Kiteworks a BleepingComputer, l’avviso riguarda clienti in più fusi orari. Per l’Europa centrale, la finestra indicata era dalle 4:00 alle 10:00 di sabato 26 settembre; a New York, dalle 22:00 di venerdì alle 4:00 di sabato.
L’azienda avrebbe chiesto di portare i sistemi offline anche quando non sono direttamente esposti a Internet e di farlo, se possibile, prima dell’orario previsto. Il punto non è una manutenzione programmata: si tratta di una precauzione temporanea mentre Kiteworks e le forze dell’ordine approfondiscono l’allerta ricevuta.
Che cosa ha confermato Kiteworks
In una dichiarazione a BleepingComputer, Kiteworks ha spiegato di aver ricevuto informazioni da autorità federali secondo cui un attore della minaccia potrebbe tentare di colpire alcuni sistemi usati dai clienti. La società non ha identificato il gruppo responsabile né ha precisato quali installazioni possano essere interessate.
Il messaggio più importante è anche quello che limita la portata dell’allarme: non è stata confermata alcuna violazione dei sistemi Kiteworks. La società descrive l’avviso come preventivo, non come la risposta a un incidente già accertato.
Il riferimento a un possibile zero-day resta non confermato
Heise riferisce che il supporto di Kiteworks avrebbe motivato lo spegnimento con la necessità di proteggere i clienti da potenziali attacchi zero-day, cioè basati su una vulnerabilità non ancora nota pubblicamente o senza correzione disponibile. Questa spiegazione non equivale però alla conferma dell’esistenza o dello sfruttamento di uno zero-day.
Né la dichiarazione fornita a BleepingComputer né la notifica ai clienti citata da Heise affermano che una vulnerabilità sconosciuta sia stata individuata. Kiteworks sostiene invece che tutti i difetti noti sono corretti nella release 9.5.1 e continua a raccomandare l’aggiornamento all’ultima versione.
Perché una piattaforma di condivisione file è un bersaglio delicato
Kiteworks sviluppa prodotti per il trasferimento sicuro di file e le comunicazioni, utilizzati da organizzazioni governative, istituzioni finanziarie e imprese. Servizi di questo tipo possono custodire documenti riservati e diventano quindi obiettivi di campagne mirate al furto di dati e all’estorsione.
La fonte ricorda che il gruppo Clop ha già preso di mira in passato piattaforme aziendali come Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo e MOVEit Transfer. Non c’è tuttavia alcuna attribuzione di questo possibile attacco a Clop: è un precedente utile a spiegare l’interesse criminale verso questi sistemi, non un collegamento confermato al caso Kiteworks.
Domande frequenti
Kiteworks ha subito una violazione?
No. L’azienda afferma di non essere a conoscenza di compromissioni dei sistemi Kiteworks e definisce l’avviso una misura preventiva.
È stato confermato uno zero-day?
No. Heise riporta un riferimento del supporto a potenziali attacchi zero-day, ma Kiteworks non ha confermato né una falla sconosciuta né il suo sfruttamento.
Quale versione del software viene indicata?
Kiteworks raccomanda l’uso della release 9.5.1, nella quale dichiara affrontate tutte le vulnerabilità note.
Considerazioni finali
La richiesta di fermare un’infrastruttura per sei ore è una misura pesante, ma in questo caso ha una logica chiara: arriva dopo un’allerta attribuita alle autorità e viene presentata apertamente come precauzionale, senza mascherarla da ordinaria manutenzione.
Conta soprattutto la distinzione mantenuta da Kiteworks tra minaccia potenziale e incidente accertato. Aggiornare alla versione 9.5.1 e applicare la finestra di spegnimento indicata sono le due azioni concrete comunicate, mentre lo zero-day resta un’ipotesi non confermata.