Μη εξουσιοδοτημένη πρόσβαση σε 130 αποθετήρια πηγαίου κώδικα GitHub του Dropbox μετά από επίθεση phishing

[nnn]

Η υπηρεσία φιλοξενίας αρχείων Dropbox αποκάλυψε την Τρίτη ότι έπεσε θύμα εκστρατείας ηλεκτρονικού "ψαρέματος" που επέτρεψε σε άγνωστους απειλητικούς παράγοντες να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε 130 αποθετήρια πηγαίου κώδικα στο GitHub.

"Αυτά τα αποθετήρια περιλάμβαναν τα δικά μας αντίγραφα βιβλιοθηκών τρίτων κατασκευαστών ελαφρώς τροποποιημένων για χρήση από το Dropbox, εσωτερικά πρωτότυπα και ορισμένα εργαλεία και αρχεία ρυθμίσεων που χρησιμοποιούνται από την ομάδα ασφαλείας", αποκάλυψε η εταιρεία σε μια συμβουλευτική ανακοίνωση.

Η παραβίαση είχε ως αποτέλεσμα την πρόσβαση σε ορισμένα κλειδιά API που χρησιμοποιούνται από τους προγραμματιστές του Dropbox, καθώς και σε "μερικές χιλιάδες ονόματα και διευθύνσεις ηλεκτρονικού ταχυδρομείου που ανήκουν σε υπαλλήλους του Dropbox, τρέχοντες και παλαιότερους πελάτες, πελάτες πωλήσεων και πωλητές".

Τόνισε, ωστόσο, ότι τα αποθετήρια δεν περιείχαν πηγαίο κώδικα που σχετίζεται με τις βασικές εφαρμογές ή την υποδομή της.

Η Dropbox, η οποία προσφέρει υπηρεσίες αποθήκευσης στο νέφος, δημιουργίας αντιγράφων ασφαλείας δεδομένων και υπογραφής εγγράφων, μεταξύ άλλων, έχει πάνω από 17,37 εκατομμύρια χρήστες που πληρώνουν και 700 εκατομμύρια εγγεγραμμένους χρήστες από τον Αύγουστο του 2022.

Η αποκάλυψη έρχεται περισσότερο από ένα μήνα αφότου τόσο το GitHub όσο και η CircleCI προειδοποίησαν για επιθέσεις phishing με σκοπό την κλοπή διαπιστευτηρίων του GitHub μέσω ψεύτικων ειδοποιήσεων που υποτίθεται ότι προέρχονται από την πλατφόρμα CI/CD.

Η εταιρεία με έδρα το Σαν Φρανσίσκο σημείωσε ότι "πολλαπλοί χρήστες του Dropbox έλαβαν μηνύματα ηλεκτρονικού ψαρέματος που παρίσταναν την CircleCI" στις αρχές Οκτωβρίου, ορισμένα από τα οποία πέρασαν από τα αυτοματοποιημένα φίλτρα ανεπιθύμητης αλληλογραφίας της και κατέληξαν στα εισερχόμενα μηνύματα ηλεκτρονικού ταχυδρομείου των εργαζομένων.

"Αυτά τα email που έμοιαζαν νόμιμα κατεύθυναν τους υπαλλήλους να επισκεφθούν μια ψεύτικη σελίδα σύνδεσης CircleCI, να εισάγουν το όνομα χρήστη και τον κωδικό πρόσβασής τους στο GitHub και στη συνέχεια να χρησιμοποιήσουν το κλειδί πιστοποίησης υλικού για να περάσουν έναν κωδικό πρόσβασης μίας χρήσης (OTP) στον κακόβουλο ιστότοπο", εξήγησε η Dropbox.

Η εταιρεία δεν αποκάλυψε πόσοι από τους υπαλλήλους της έπεσαν θύμα της επίθεσης phishing, αλλά δήλωσε ότι έλαβε άμεσα μέτρα για την εναλλαγή όλων των εκτεθειμένων διαπιστευτηρίων προγραμματιστών και ότι ειδοποίησε τις αρχές επιβολής του νόμου.

Είπε επίσης ότι δεν βρήκε αποδείξεις ότι κλάπηκαν δεδομένα πελατών ως αποτέλεσμα του περιστατικού, προσθέτοντας ότι αναβαθμίζει τα συστήματα ελέγχου ταυτότητας δύο παραγόντων για την υποστήριξη κλειδιών ασφαλείας υλικού για την αντίσταση στο phishing.

"Ακόμα και ο πιο σκεπτικιστής, άγρυπνος επαγγελματίας μπορεί να πέσει θύμα ενός προσεκτικά σχεδιασμένου μηνύματος που παραδίδεται με τον σωστό τρόπο τη σωστή στιγμή", κατέληξε η εταιρεία. "Αυτός ακριβώς είναι ο λόγος για τον οποίο το phishing παραμένει τόσο αποτελεσματικό".

Translated with www.DeepL.com/Translator (free version)

Πηγή : THN

[xaris2335]

Τελικά απο ότι έχω καταλάβει το social engineering είναι η πιο αποτελεσματική μέθοδος χακαρίσματος.
Ένας να την πατήσει αρκεί.

- - - Updated - - -

Η εταιρεία δεν αποκάλυψε πόσοι από τους υπαλλήλους της έπεσαν θύμα της επίθεσης phishing, αλλά δήλωσε ότι έλαβε άμεσα μέτρα για την εναλλαγή όλων των εκτεθειμένων διαπιστευτηρίων προγραμματιστών και ότι ειδοποίησε τις αρχές επιβολής του νόμου.

Στο μάνατζμεντ αυτό που έμαθα είναι ότι το μεγαλύτερο περιουσιακό στοιχείο σε έναν οργανισμό είναι η εκπαίδευση του Ανθρώπινου Δυναμικού, το ίδιο ισχύει και για την ασφάλεια ενός οργανισμού.

- - - Updated - - -

προβλέπω επίσης ότι τα credentials & databases των χρηστών θα μοσχοπουληθούν στο dark web

- - - Updated - - -

"Ακόμα και ο πιο σκεπτικιστής, άγρυπνος επαγγελματίας μπορεί να πέσει θύμα ενός προσεκτικά σχεδιασμένου μηνύματος που παραδίδεται με τον σωστό τρόπο τη σωστή στιγμή", κατέληξε η εταιρεία. "Αυτός ακριβώς είναι ο λόγος για τον οποίο το phishing παραμένει τόσο αποτελεσματικό".

Μεγάλες αλήθειες !!

Όπως έγινε και στη δική μου περίπτωση με δόλωμα μια ελκυστική φωτογραφία τολμώ να πω !!


- - - Updated - - -

every user, business or Nation is potential A TARGET !!