Las páginas GitHub de Microsoft, que contienen el código fuente de casi todos los productos y servicios que la empresa ha lanzado en las últimas dos décadas, son populares entre los desarrolladores. Sin embargo, un nuevo informe publicado hoy revela que algunos de estos desarrolladores pueden no ser tan cuidadosos como deberían al almacenar sus credenciales en la plataforma. Los empleados de Microsoft publicaron datos confidenciales de la empresa en los repositorios de Microsoft GitHub.
Específicamente, Sonatype dijo que encontró algo similar en Microsoft: mientras revisaban los repositorios privados durante las últimas semanas, los investigadores de Sonatype encontraron que los «empleados de una gran empresa» cargaron 61 credenciales relacionadas con recursos internos, como servicios web internos, bases de datos y otros. repositorios de código. .
La compañía dice que no ha revelado el nombre de la organización porque sus investigadores pudieron ponerse en contacto con la empresa e informarles sobre el problema antes de publicar sus hallazgos en una publicación de blog hoy.
Los empleados de Microsoft, que tenían acceso a los repositorios privados de GitHub de la empresa, publicaron más de 48 000 credenciales en la plataforma de código abierto, según revela un nuevo informe publicado hoy.
Los empleados de Microsoft, que tenían acceso a los repositorios privados de GitHub de la empresa, publicaron más de 48 000 credenciales en la plataforma de código abierto, según revela un nuevo informe publicado hoy.
Lea también: El primer teléfono de carga rápida de 200 W del mundo «iQOO 10»
Los datos fueron publicados en GitHub por un grupo no identificado de desarrolladores de Microsoft y parece que se filtraron accidentalmente.
Si bien esta puede ser una de las mayores exposiciones que la plataforma haya visto, no es inusual que las empresas filtren accidentalmente información confidencial en línea. Además de compartirse con cualquier usuario que encuentre su camino hacia un repositorio a través de métodos tradicionales, como una búsqueda en Google u otro sitio web que enumera todos los repositorios públicos disponibles para descargar desde GitHub (una práctica que desde entonces se suspendió), compartir algunos desarrolladores incluso. su código públicamente sin que sepan lo que están haciendo, lo que facilita que cualquiera que busque un truco fácil o simplemente las credenciales de otra persona
El informe se titula «Datos expuestos a través de la búsqueda de GitHub» y fue publicado por la firma de seguridad Sonatype, que encontró filtraciones similares en el pasado que involucraban a Amazon y compañías de telecomunicaciones chinas.
Sonatype descubrió la brecha y ha visto filtraciones similares en el pasado. En 2016, Sonatype descubrió que los datos de Amazon y las empresas de telecomunicaciones chinas se habían filtrado en GitHub.
El informe se titula «Datos expuestos a través de la búsqueda de GitHub» y fue publicado por la firma de seguridad Sonatype, que encontró filtraciones similares en el pasado que involucraban a Amazon y compañías de telecomunicaciones chinas.
En concreto, Sonatype encontró 2700 carteles relacionados con empleados de Amazon y 340 con ingenieros de Huawei.
Un token es un identificador único que se puede usar para acceder a un recurso en particular. Los tokens se utilizan a menudo para autorizar el acceso a servicios web, bases de datos u otros recursos. También se pueden usar como nombres de usuario y contraseñas para repositorios privados en GitHub.
Una nueva investigación de Sonatype encontró 2700 tokens pertenecientes a empleados de Amazon, 340 a ingenieros de Huawei y 1120 trabajadores de IBM involucrados en el repositorio de código fuente abierto.
La lista de tokens filtrados fue publicada por Troy Hunt en mayo de 2019 e incluía más de 600 000 registros en todo el mundo.
En ambos casos, los tokens de acceso de usuario en GitHub se filtraron porque los empleados no leyeron las pautas internas de su empresa que prohíben esta práctica.
Es importante tener en cuenta que los datos filtrados podrían usarse maliciosamente de alguna manera, pero no podemos estar seguros. También es posible que los piratas informáticos nunca usaran los datos y, por lo tanto, no tuvieran un impacto negativo en Microsoft o sus clientes.
Sin embargo, sabemos con qué frecuencia ocurre este tipo de incumplimiento en las grandes empresas, y no es raro.
En ambos casos, los tokens de acceso de usuario en GitHub se filtraron porque los empleados no leyeron las pautas internas de su empresa que prohíben esta práctica. Esto apunta a un hecho importante: si bien muchas empresas tienen políticas estrictas que prohíben ciertos comportamientos en las plataformas de redes sociales y otros espacios en línea, es su responsabilidad como usuario (o empleado) seguir estas reglas.
Ahora, Sonatype dijo que encontró algo similar en Microsoft.
Ahora, Sonatype dijo que encontró algo similar en Microsoft. Los datos de la compañía también se publicaron en línea en GitHub, pero esta vez por los propios empleados de Microsoft en lugar de un socio externo.
Eso no es todo: Sonatype también descubrió que el repositorio que contiene la información confidencial de Microsoft había estado abierto para que cualquiera lo viera desde la semana pasada. Además de las vulnerabilidades y exploits habituales asociados con tales filtraciones de datos, también había algunos documentos internos de la propia empresa.
Lo que hace que este caso en particular sea aún peor es que estas revelaciones parecen haber sido intencionales en lugar de accidentales, y Sonatype dice que probablemente sean parte de un esfuerzo continuo dentro de Microsoft: “ ` La página del repositorio enumera cuatro colaboradores diferentes que contribuyeron con contenido entre enero 2016 y marzo de 2018 (incluida una persona que agregó una entrada), pero puede haber más colaboradores que los que se enumeran en la página porque solo se puede asignar un colaborador por entrada en los repositorios de GitHub (ningún nombre de usuario está asociado con ninguna otra entrada) .
Lea también: El nuevo «Google Wallet» ya está disponible para todos los usuarios
Esto sugiere que alguien cargó deliberadamente su trabajo en este repositorio de acceso público a pesar de que ha habido numerosas advertencias sobre lo importante que es para empresas como Microsoft mantener sus secretos a salvo de la vista en línea.
Mientras revisaban los repositorios privados en las últimas semanas, los investigadores de Sonatype descubrieron que los «empleados de una gran empresa» habían subido 61 credenciales relacionadas con recursos internos, como servicios web internos, bases de datos y otros repositorios de código.
Mientras revisaban los repositorios privados en las últimas semanas, los investigadores de Sonatype descubrieron que los «empleados de una gran empresa» habían subido 61 credenciales relacionadas con recursos internos, como servicios web internos, bases de datos y otros repositorios de código.
Las credenciales no se cifraron y se cargaron en repositorios públicos. Según el análisis de los investigadores de los datos de GitHub, muchas de estas infracciones ocurrieron porque los empleados no leyeron las pautas internas de su empresa o no sabían cómo usar GitHub correctamente.
La compañía dice que no ha revelado el nombre de la organización porque sus investigadores pudieron ponerse en contacto con la empresa y ponerla al tanto del problema antes de publicar sus hallazgos en una publicación de blog hoy.
La compañía dice que no ha revelado el nombre de la organización porque sus investigadores pudieron ponerse en contacto con la empresa y ponerla al tanto del problema antes de publicar sus hallazgos en una publicación de blog hoy. Los investigadores también dijeron que encontraron evidencia de filtraciones similares en otras organizaciones y planean investigar más a fondo.
«Creemos que la divulgación responsable funciona mejor cuando podemos comunicarnos de inmediato con todas las partes involucradas», dijo Marc Rogers, investigador principal de seguridad de Cloudflare, quien fue uno de los investigadores. datos encontrados por primera vez en GitHub. «Esto nos permite discutir nuestros hallazgos juntos y elaborar un plan para resolverlos».
Los datos robados pueden ser extremadamente valiosos para los piratas informáticos
Solo los datos en sí pueden ser valiosos para los piratas informáticos. El hecho de que se haya publicado en GitHub deja un rastro de migas de pan para que lo sigan, lo que les permite descubrir más secretos sobre la empresa y sus empleados.
Puede parecer obvio, pero los piratas informáticos pueden usar los datos robados de diferentes maneras:
- Ataques de phishing: Si un pirata informático tiene acceso a su dirección de correo electrónico u otra información personal, puede usarla para lanzar un ataque de phishing contra usted. Esto podría llevar a que proporcione información más confidencial, como su número de cuenta bancaria o número de seguro social, que luego pueden usar para robo de identidad o fraude. También les da acceso a todo tipo de otras cuentas (como Facebook) vinculadas al correo electrónico o número de teléfono de su víctima.
- Dirigirse a personas específicas: Los piratas informáticos a menudo recopilan suficiente información sobre sus objetivos antes de hacer contacto para que sepan cómo manipular mejor a esas personas para que entreguen información confidencial o incluso dinero. Por ejemplo, los atacantes pueden averiguar el cumpleaños del empleado y enviar un correo electrónico oficial felicitándolo por envejecer. El atacante puede pretender ser otra persona dentro de la empresa que envió la solicitud original porque «olvidó» lo que se estaba discutiendo cuando se le preguntó directamente por qué esa información era confidencial que necesita de otro empleado.
Conclusión
Microsoft nos ha informado que cuenta con un proceso para los empleados que tienen acceso a los repositorios de GitHub y, desde entonces, ha tomado medidas contra quienes violaron las políticas internas de la empresa.
La compañía también dijo que no cree que ninguna de estas credenciales filtradas se haya utilizado de manera maliciosa. Aún así, este es solo otro ejemplo de lo fácil que es para las personas revelar accidentalmente datos privados en línea, y por qué las empresas deberían asegurarse de que sus empleados sepan que no deben hacer cosas como cargar información confidencial en plataformas de código abierto sin pensarlo dos veces. primero las consecuencias!