Рекомендуем почитать:
Ранее на этой неделе мы рассказывали об утечке данных, произошедшей у финансово-технического «единорога», компании Dave. В общей сложности в сеть попала информация 7 516 625 пользователей, включая настоящие имена, номера телефонов, email-адреса, даты рождения, домашние адреса, а также пароли и номера социального страхования в зашифрованном виде.
Представители Dave заявляли, что утечка произошла по вине бывшего делового партнера компании, аналитической платформы Waydev. Якобы из-за халатности со стороны Waydev, злоумышленники смогли получить несанкционированный доступ к данным о пользователях Dave.
Теперь разработчики Waydev подтвердили, что в начале месяца неизвестные хакеры действительно похитили OAuth-токены компании от GitHub и GitLab. Из-за этого оказались взломаны как минимум две компании-клиента Waydev: Dave и Flood.io.
Дело в том, что платформа Waydev используется для мониторинга результатов работы разработчиков ПО, путем анализа кодовых баз Git. Для этого Waydev имеет специальное приложение на GitHub и GitLab. Когда пользователи устанавливают это приложение, Waydev получает токен OAuth, который может использоваться для доступа к проектам клиентов на GitHub или GitLab. Waydev хранит токены в своей БД и ежедневно использует их для создания аналитических отчетов для клиентов.
Представители компании говорят, что хакеры обнаружили некую уязвимость и осуществили SQL-инъекцию, чтобы добраться до БД Waydev и похитить токены. Затем злоумышленники использовали токены, чтобы перейти к кодовым базам других компаний и получить доступ к их проектам.
В компании заявляют, что обнаружили атаку 3 июля 2020 года и в тот же день исправили уязвимость, использованную злоумышленниками. Также инженеры Waydev сотрудничали со специалистами GitHub и GitLab, чтобы отозвать все пострадавшие токены OAuth.
В настоящее время в Waydev уверены, что хакеры получили доступ к кодовым базам небольшого числа клиентов. Так, пока известно лишь о двух пострадавших — уже упомянутой выше компании Dave и сервисе для тестирования ПО Flood.io.
Сейчас компания расследует случившееся вместе с правоохранительными органами и ИБ-экспертами из компании Bit Sentinel. Чтобы потенциальным пострадавшим было легче обнаружить подозрительную активность, представители Waydev уже обнародовали индикаторы компрометации, связанные с неизвестными злоумышленниками, включая адреса электронной почты, IP-адреса и user agent.
Читайте также
Последние новости
2009-2024 © Все права защищены.
This website - is fan-site, not an official Huawei website. The Huawei logo is a trademark of Huawei Technologies. Other trademarks are the property of their respective owners.
|