Incidenti me tiketat e mbështetjes së Virtualizor-it: pse fjalëkalimet root nuk duhen ruajtur kurrë

Një incident sigurie i shkurtit 2026, që përfshiu një sistem mbështetjeje të Virtualizor-it, nxori në pah një nga problemet më të vjetra të sigurisë në industrinë e hostingut: platformat e mbështetjes që kthehen pa dashje në vende ruajtjeje për kredencialet e klientëve.

Sipas njoftimit të vetë Virtualizor-it për sigurinë, aksesi i paautorizuar në sistemin e tyre të tiketave të mbështetjes ekspozoi afërsisht 1 500 tiketa historike mbështetjeje. Virtualizor-i raportoi se disa prej atyre tiketave përmbanin informacion të ndjeshëm, përfshirë kredenciale root në tekst të thjeshtë që klientët i kishin ndarë më parë kur kërkonin ndihmë. Kompania deklaroi se incidenti kishte të bënte me sistemin e mbështetjes dhe nuk ishte shkaktuar nga një cenueshmëri në vetë softuerin Virtualizor. 1

Mësimi i rëndësishëm nuk kufizohet në një platformë apo një ofrues të vetëm.

Problemi është se sistemet e mbështetjes shpesh përmbajnë vite të tëra të dhënash klientësh, të cilat nuk ishin menduar kurrë të bëheshin një regjistër i përhershëm sigurie.

Qendrat e mbështetjes janë sisteme sigurie që shpërfillen

Shumë ofrues hostingu grumbullojnë me kohën të njëjtin lloj informacioni.

Fjalëkalime root të ngjitura gjatë zgjidhjes së një problemi. Çelësa SSH të bashkëngjitur gjatë një migrimi. Token-ë API të përfshirë në mesazhe gabimi. Eksporte bazash të dhënash të ngarkuara për të riprodhuar një problem.

Tiketa mbyllet. Problemi zgjidhet. Klienti vazhdon punën e vet.

Por të dhënat shpesh mbeten të ruajtura në bazat e të dhënave të tiketave, në kopjet rezervë, në bashkëngjitjet dhe në arkivat e brendshme.

Ekspozimi i sigurisë së një sistemi mbështetjeje është i lidhur ngushtë me çdo sekret që klientët kanë ndarë përmes tij. Për shumë ofrues, ajo histori përmban më shumë informacion të ndjeshëm nga sa e kuptojnë.

Mos i dërgoni kurrë mbështetjes kredenciale të përhershme

Klientët duhet t'i trajtojnë si potencialisht të komprometuara kredencialet e dorëzuara përmes tiketave të mbështetjes.

Kjo përfshin:

• fjalëkalimet root
• fjalëkalimet e administratorit
• çelësat API
• çelësat privatë
• kredencialet e bazave të të dhënave
• fjalëkalimet e panelit të kontrollit
• fjalëkalimet e përkohshme të krijuara për zgjidhjen e problemeve

Nëse një kredencial është ndarë tashmë, ndërrojeni.

Qasja më e sigurt është aksesi i përkohshëm:

• krijoni një llogari të përkohshme mbështetjeje
• jepini leje të kufizuara
• hiqjani aksesin pas punës
• përdorni aksesin me konsolë kur SSH-ja nuk është e disponueshme

Një ofrues duhet të jetë në gjendje ta zgjidhë problemin e shërbimit tuaj pa pasur nevojë për kredencialet tuaja të përhershme të hyrjes.

Çfarë duhet të ndryshojnë ofruesit e hostingut

Përgjegjësia nuk u takon vetëm klientëve.

Ofruesit duhet të supozojnë se brenda tiketave historike mund të ketë informacion të ndjeshëm dhe të marrin masa për ta ulur ndikimin.

Praktikat e mira përfshijnë:

• skanimin e tiketave të vjetra për të dhëna që duken si kredenciale
• heqjen e bashkëngjitjeve të panevojshme pasi skadojnë afatet e ruajtjes
• mbrojtjen e sistemeve të mbështetjes me kontrolle të forta vërtetimi
• kufizimin e aksesit të punonjësve te të dhënat e klientëve
• dokumentimin e politikave të trajtimit të kredencialeve

Një platformë mbështetjeje duhet trajtuar si sistem sigurie në prodhim. Ajo përmban informacion klientësh, detaje operacionale dhe potencialisht material vërtetimi.

Akses pa kredenciale

Te AVS ISP nuk u kërkojmë klientëve të dërgojnë fjalëkalime root.

Shërbimet tona VPS dhe VDS përfshijnë akses në konsolë noVNC përmes shfletuesit, nga zona e klientit. Nëse aksesi SSH nuk është i disponueshëm për shkak të një gabimi në murin e zjarrit, një konfigurimi të prishur, një përditësimi të dështuar ose një problemi tjetër sistemi, klientët mund të hyjnë drejtpërdrejt në makinë pa ndarë një kredencial të përhershëm.

Kur nevojitet ndihma e mbështetjes, synimi është t'i ndihmojmë klientët ta diagnostikojnë problemin pa krijuar edhe një kopje të sekreteve të tyre.

Infrastruktura jonë VPS përdor virtualizim me bazë KVM, duke ofruar kufij virtualizimi të ndihmuar nga hardueri e të zbatuar nga hipervizori, në vend që të mbështetet vetëm në izolimin në nivel sistemi operativ.

Bisedat me mbështetjen duhet të përmbajnë informacion për zgjidhjen e problemit, jo fjalëkalime.

Nëse ndonjëherë i keni dërguar kredenciale çfarëdo ofruesi hostingu, përfshirë ne, veprimi më i sigurt është i njëjti: ndërrojini.

Ransomware-i e kthen dizajnin e dobët të kopjeve rezervë në humbje të përhershme

Pjesa më shkatërruese e incidenteve me ransomware shpesh nuk është komprometimi fillestar.

Është humbja e mundësive të rimëkëmbjes.

Nëse sulmuesit mund të hyjnë në sistemet e prodhimit dhe në kopjet rezervë të aksesueshme prej tyre, një ndërprerje mund të kthehet në humbje të përhershme të të dhënave.

Një strategji e vërtetë kopjesh rezervë kërkon ndarje:

• kredenciale të veçanta
• sisteme të veçanta
• domene dështimi të veçanta
• mundësisht vendndodhje fizike të veçanta

Një kopje rezervë e ruajtur në të njëjtin mjedis dhe e mbrojtur me të njëjtat kredenciale si prodhimi nuk është kopje e pavarur rimëkëmbjeje.

AVS ISP operon infrastrukturë në disa vendndodhje dhe ofron vendndodhje shtesë VPS për klientët që duan ndarje gjeografike. Megjithatë, parimi vlen kudo: klientët duhet të mbajnë kopje rezervë që i kontrollojnë vetë, jo vetëm kopje që ekzistojnë brenda mjedisit të ofruesit të tyre të hostingut.

Mësimi më i gjerë për hostingun

Mësimi nga incidente si ky është i thjeshtë:

Siguria nuk ka të bëjë vetëm me muret e zjarrit, hipervizorët dhe mbrojtjen e rrjetit.

Ka të bëjë edhe me zakonet e zakonshme të punës.

Një fjalëkalim i kopjuar sot në një tiketë mbështetjeje mund të kthehet në incident sigurie vite më vonë.

Ofruesit e hostingut duhet t'i projektojnë sistemet duke supozuar se klientët do të bëjnë gabime. Klientët duhet të zgjedhin ofrues që i bëjnë ato gabime më pak të rrezikshme.

Tiketa më e mirë e mbështetjes është ajo që e zgjidh problemin pa përmbajtur kurrë një sekret.

Pyetje të bëra shpesh

A duhet t'i jap ofruesit të VPS-së fjalëkalimin tim root?

Jo. Një ofrues hostingu nuk duhet të kërkojë kredenciale të përhershme. Metodat e aksesit të përkohshëm, aksesi me konsolë ose llogaritë e kufizuara janë më të sigurta.

A janë tiketat e mbështetjes rrezik sigurie?

Po. Tiketat e mbështetjes shpesh përmbajnë regjistra, detaje konfigurimi, kredenciale dhe informacion klientësh që mund të mbeten të ruajtura me vite.

Çfarë duhet të bëj nëse ia kam dërguar fjalëkalimin mbështetjes së hostingut?

Ndërrojeni menjëherë. Ndërroni çdo çelës, token ose kredencial të lidhur që mund të ketë qenë përfshirë.

Burimet

1. Security Update: Transparency Regarding a Recent Support Ticket Incident, Virtualizor (3 shkurt 2026) — burimi parësor
2. Mass VPS Provider Ransomware Attack Linked to Stolen Credentials from Virtualizor Support Breach, Cyber Kendra (shkurt 2026) — raportim i pavarur