Beijing suspende Alibaba Cloud por no informar antes sobre la vulnerabilidad de Log4j
Varios medios de comunicación chinos informan que Alibaba Cloud está experimentando consecuencias por parte de los reguladores gubernamentales después de informar la vulnerabilidad de Log4J a Apache ante el Ministerio de Industria y Tecnología de la Información (MIIT).
Según 21st Century Business Herald, la Administración de Seguridad Cibernética del MIIT descontinuó su alianza de intercambio de información con Alibaba Cloud durante seis meses, mencionando específicamente la razón detrás de tal acción como la decepción para informar a Log4J a tiempo.
Chen Zhaojun, ingeniero de seguridad de Alibaba Cloud, fue el primero en descubrir la vulnerabilidad Log4J y notificar a Apache. Informó a Apache el 24 de noviembre, y un tercero también informó al mismo MIIT a través de un informe.
Según The Protocol, China promulgó recientemente una nueva ley que exige que todas las empresas informen sobre vulnerabilidades (como Log4J) a los reguladores estatales en un plazo de dos días. Desafortunadamente, este reciente revés del MIIT se produce meses después de que el gobierno chino impusiera regulaciones más estrictas sobre la divulgación de vulnerabilidades.
Alibaba fue acusada de una multa de 18.200 millones de yuanes y otras 33 aplicaciones móviles han encontrado objeciones de Beijing por sus políticas de recopilación de datos. Al mismo tiempo, Alibaba y Tencent han estado bajo un severo escrutinio del gobierno, mientras que Didi se ha enfrentado a una importante revisión de ciberseguridad.
El Ministerio de Defensa belga sufrió recientemente un ciberataque debido a la vulnerabilidad de Log4J. punto de control; una empresa de seguridad israelí confirmó que había prohibido más de 4,3 millones de disparos de explotación hasta el momento, con el 46% de esas intrusiones realizadas por grupos maliciosos conocidos.
Según Checkpoint:
Esta vulnerabilidad puede hacer que el dispositivo se controle de forma remota, lo que provocará graves peligros como el robo de información confidencial y la interrupción del servicio del dispositivo, dijo previamente el MIIT en una declaración pública publicada el 17 de diciembre, y agregó que solo se informó sobre la falla. el 9 de diciembre, 15 días después de la divulgación inicial.
En septiembre, el gobierno lanzó "bases de datos de seguridad cibernética y vulnerabilidades profesionales" para notificar las vulnerabilidades de seguridad en redes, aplicaciones móviles, sistemas de control industrial, automóviles inteligentes, dispositivos IoT y otros productos de Internet a los que podrían apuntar los actores de amenazas.
En noviembre, la Administración del Ciberespacio de China reveló un nuevo conjunto de regulaciones que clasificaron los datos y presentó numerosos conjuntos de sanciones por incumplimiento de la política de ciberseguridad.
MIIT confirmó que recibió un informe de un tercero sobre el problema en lugar de Alibaba Cloud. Sin embargo, Alibaba Cloud se ha negado a comentar sobre la suspensión.