Belgijski operator sieci badawczo-edukacyjnej Belnet potwierdził bardzo poważny incydent dotyczący poczty e-mail. Atakujący kopiowali przychodzące wiadomości przetwarzane przez dotkniętą infrastrukturę i przesyłali je na zewnętrzne serwery. Problem trwał od 22 lipca do rana 25 września 2026 roku. Kopiowane były nie tylko dane nadawców, ale również treść wiadomości i ich załączniki.

Co dokładnie wyciekło z Belnet?

Zgodnie z komunikatem Belnet incydent dotyczył wszystkich przychodzących e-maili wysyłanych do domen należących do Belnet oraz jednego z klientów. Atakujący uzyskali kopie wiadomości wraz z ich treścią i załącznikami.

Późniejsza analiza wykazała również potencjalne narażenie linków wygenerowanych przez FileSender i FedSender oraz części kont guestroam. Transfery chronione hasłem albo wymagające uwierzytelnienia nie są uznawane za dotknięte w taki sam sposób, o ile hasło nie zostało wpisane w komentarzu do transferu.

Jak długo trwał atak i co było jego przyczyną?

Belnet wykrył incydent 24 września. Źródłem była podatność zero-day w technologii zewnętrznego dostawcy. Luka została usunięta 25 września o 08:10, a wyciek powstrzymany. W późniejszej aktualizacji Belnet wskazał, że chodziło o technologię Fortinet.

Kto powinien uważać?

Nie chodzi wyłącznie o posiadaczy kont Belnet. Jeśli ktoś wysłał wiadomość do dotkniętej domeny między 22 lipca a 25 września, jej kopia również mogła zostać przejęta. Znaczenie ma więc zawartość wysłanej korespondencji i załączników. Belnet poinformował klientów oraz właściwe organy i prowadzi dalsze postępowanie z belgijskim CCB.

Źródło: Belnet – Security and privacy incident affecting Belnet’s IT infrastructure