Pequim suspende o Alibaba Cloud por não relatar a vulnerabilidade Log4j mais cedo
Vários meios de comunicação chineses relatam que o Alibaba Cloud está sofrendo consequências dos reguladores do governo depois de informar a vulnerabilidade do Log4J ao Apache perante o Ministério da Indústria e Tecnologia da Informação (MIIT).
De acordo com o 21st Century Business Herald, a Administração de Segurança Cibernética do MIIT estava descontinuando sua aliança de compartilhamento de informações com o Alibaba Cloud por seis meses, mencionando especificamente o motivo por trás de tal ação como a decepção para relatar o Log4J a tempo.
Chen Zhaojun, engenheiro de segurança da Alibaba Cloud, foi o primeiro a descobrir a vulnerabilidade do Log4J e notificar o Apache. Ele informou a Apache em 24 de novembro, e um terceiro também informou o mesmo MIIT via relatório.
De acordo com o Protocolo, a China promulgou recentemente uma nova lei exigindo que todas as empresas relatem vulnerabilidades (como Log4J) aos reguladores estaduais dentro de dois dias. Infelizmente, esse recente revés do MIIT ocorre meses depois que o governo chinês impôs regulamentações mais rígidas de divulgação de vulnerabilidades.
O Alibaba foi acusado de uma multa de 18,2 bilhões de yuans e 33 outros aplicativos móveis encontraram objeções de Pequim por suas políticas de coleta de dados. Ao mesmo tempo, Alibaba e Tencent passaram por um severo escrutínio do governo, enquanto Didi enfrentou uma grande revisão de segurança cibernética.
O Ministério da Defesa belga sofreu recentemente um ataque cibernético devido à vulnerabilidade do Log4J. Ponto de Verificação; uma empresa de segurança israelense confirmou que havia barrado mais de 4,3 milhões de disparos de exploração até agora, com 46% dessas invasões feitas por grupos maliciosos conhecidos.
De acordo com a Check Point:
Essa vulnerabilidade pode fazer com que o dispositivo seja controlado remotamente, o que causará sérios riscos, como roubo de informações confidenciais e interrupção do serviço do dispositivo, disse o MIIT anteriormente em um comunicado público publicado em 17 de dezembro, acrescentando que só tomou conhecimento da falha em 9 de dezembro, 15 dias após a divulgação inicial.
Em setembro, o governo lançou “bancos de dados de vulnerabilidades profissionais e de segurança cibernética" para notificar vulnerabilidades de segurança em redes, aplicativos móveis, sistemas de controle industrial, carros inteligentes, dispositivos IoT e outros produtos da Internet que os agentes de ameaças podem visar.
Em novembro, a Administração do Ciberespaço da China divulgou um novo conjunto de regulamentos que classificavam dados e apresentavam vários conjuntos de penalidades por violações da política de segurança cibernética.
O MIIT confirmou que recebeu um relatório de terceiros sobre o problema em vez do Alibaba Cloud. No entanto, o Alibaba Cloud se recusou a comentar sobre a suspensão.