Home-theater-designers
Dropbox ir paziņojis, ka datu pārkāpuma dēļ tika nozagtas 130 GitHub krātuves. Pārkāpums noticis veiksmīga pikšķerēšanas uzbrukuma rezultātā.
Dropbox atklāj drošības pārkāpumu
Ir paziņots, ka populārā failu apmaiņas un sadarbības platforma Dropbox ir cietusi no datu pārkāpuma. Šajā pārkāpumā draudu izpildītājs, izmantojot pikšķerēšanas uzbrukumu, nozaga 130 privātas GitHub kodu krātuves (vai arhīvus).
DIENAS VIDEO MAKEUSEOF
Iekšā Dropbox.Tech ziņa , uzņēmuma drošības komanda paziņoja, ka šajās nozagtajās krātuvēs ir iekļauti 'daži akreditācijas dati, galvenokārt API atslēgas, ko izmantoja Dropbox izstrādātāji'. Komanda arī atzīmēja, ka 'iekļauts arī kods un ap to esošie dati daži tūkstoši vārdu un e-pasta adrešu, kas pieder Dropbox darbiniekiem, esošajiem un iepriekšējiem klientiem, pārdošanas potenciālajiem klientiem un pārdevējiem.'
kā mainīt Mac mapju krāsu
Kopš tā laika Dropbox ir atspējojis apdraudējuma dalībnieka piekļuvi GitHub (koda mitināšanas, koplietošanas un izstrādes platformai), un tās komanda ātri strādā, lai noskaidrotu, vai nav nozagti kādi klientu dati, un noteiktu 'visu atklāto izstrādātāja akreditācijas datu rotāciju'.
Draudu aktieris uzdodas par oficiālu iestādi
Šajā Dropbox pikšķerēšanas uzbrukums , draudu izpildītājs uzdodas par CirclCI darbinieku. Dažām iekšējām izvietošanām Dropbox izmanto integrācijas un piegādes platformu CirclCI. Sākot ar oktobri, Dropbox lietotāji sāka saņemt e-pasta ziņojumus no sūtītājiem, kuri apgalvoja, ka ir no CirclCI. Tas ir ierasts pikšķerēšanas uzbrukumos.
Dropbox darbinieka GitHub akreditācijas datus var izmantot arī, lai piekļūtu viņa CircleCI kontam, tāpēc šajā gadījumā draudu izpildītājs uzdodas par CircleCI. Dropbox varēja noķert dažus pikšķerēšanas e-pastus, pirms tie sasniedza darbiniekus, bet ne visus.
Kad mērķauditorija saņēma e-pasta ziņojumu, tai tika sniegta saite uz a ļaunprātīga vietne izstrādāti, lai nozagtu gan viņu GitHub akreditācijas datus, gan aparatūras autentifikācijas atslēgu. Šādas vietnes ir veidotas tā, lai tās izskatītos gandrīz identiskas oficiālajām pieteikšanās lapām.
Izmantojot šo informāciju, uzbrucējs varēja piekļūt GitHub kontam un nozagt repozitorijus. Nav zināms, cik daudz Dropbox darbinieku kļuva par šīs pikšķerēšanas kampaņas upuriem.
Dropbox konta saturs netika nozagts
Iepriekš minētajā ierakstā Dropbox lietotājiem apliecināja, ka uzbrukumā netika nozagti nekādi klientu dati, piemēram, paroles vai maksājumu informācija. Turklāt Dropbox paziņoja, ka draudu izpildītājs nav nozadzis nekādu kodu savām galvenajām lietotnēm un infrastruktūrai.
Šī pārkāpuma rezultātā Dropbox paziņoja, ka visa tā platforma drīzumā tiks 'nodrošināta WebAuthn ar aparatūras marķieriem vai biometriskajiem faktoriem'.
Pikšķerēšanas uzbrukumi var apmānīt pat pieredzējušus cilvēkus
Gadiem ejot, pikšķerēšanas uzbrukumi kļūst arvien sarežģītāki, līdz tagad ir grūti izzagt ļaunprātīgu e-pastu vai vietni. Tomēr joprojām ir ļoti svarīgi izmantot atbilstošus drošības pasākumus, piemēram, pretvīrusu programmatūru un surogātpasta filtrus, lai pēc iespējas labāk pasargātu sevi no pikšķerēšanas.