دراپ باکس با نقض داده مواجه شده است که در آن یک مهاجم 130 مخزن GitHub را دزدیده است.
Dropbox اعلام کرده است که 130 مخزن GitHub از طریق نقض داده به سرقت رفته است. این نقض در نتیجه یک حمله فیشینگ موفق رخ داد.
Dropbox یک نقض امنیتی را فاش می کند
اعلام شده است که Dropbox، پلتفرم محبوب اشتراک فایل و همکاری، دچار نقض داده شده است. در این نقض، یک عامل تهدید 130 مخزن کد (یا آرشیو) خصوصی GitHub را از طریق یک حمله فیشینگ به سرقت برد.
در یک پست Dropbox.Tech، تیم امنیتی این شرکت اعلام کرد که این مخازن دزدیده شده شامل “برخی از اعتبارنامه ها – در درجه اول، کلیدهای API – استفاده شده توسط توسعه دهندگان Dropbox هستند”. این تیم همچنین خاطرنشان کرد که “کد و داده های اطراف آن نیز شامل چند هزار نام و آدرس ایمیل متعلق به کارمندان Dropbox، مشتریان فعلی و گذشته، سرنخ های فروش و فروشندگان است.”
Dropbox از آن زمان دسترسی عامل تهدید به GitHub (یک پلتفرم میزبانی کد، اشتراک گذاری و توسعه) را غیرفعال کرده است و تیم آن به سرعت در حال تلاش برای یافتن اینکه آیا داده های مشتری به سرقت رفته است یا خیر و «چرخش همه اعتبارنامه های توسعه دهنده در معرض» را تعیین می کند.
بازیگر تهدید جعل یک نهاد رسمی
در این حمله فیشینگ Dropbox، بازیگر تهدید جعل هویت یکی از کارکنان CirclCI بود. Dropbox از CirclCI، یک پلت فرم یکپارچه سازی و تحویل، برای برخی از استقرارهای داخلی خود استفاده می کند. از ماه اکتبر، کاربران Dropbox شروع به دریافت ایمیل از فرستندگانی کردند که ادعا می کردند از CirclCI هستند. این امر در حملات فیشینگ رایج است.
از اعتبارنامه GitHub کارمند Dropbox نیز می توان برای دسترسی به حساب CircleCI آنها استفاده کرد، به همین دلیل است که عامل تهدید در این مورد جعل هویت CircleCI است. Dropbox توانست برخی از ایمیل‌های فیشینگ را قبل از رسیدن به کارکنان دریافت کند، اما نه همه آنها.
هنگامی که فرد مورد نظر ایمیل را دریافت کرد، پیوندی به یک وب‌سایت مخرب ارائه شد که برای سرقت اعتبار GitHub و کلید احراز هویت سخت‌افزاری طراحی شده بود. چنین وب سایت هایی به گونه ای طراحی شده اند که ظاهری تقریباً مشابه با صفحات ورود رسمی دارند.
با استفاده از این اطلاعات، مهاجم قادر به دسترسی به حساب GitHub و سرقت مخازن بود. مشخص نیست که چه تعداد از کارکنان Dropbox قربانی این کمپین فیشینگ شده اند.
محتوای حساب Dropbox به سرقت نرفت
در پست فوق، Dropbox به کاربران اطمینان داد که هیچ نوع اطلاعات مشتری، مانند رمز عبور یا جزئیات پرداخت، در این حمله دزدیده نشده است. علاوه بر این، Dropbox اعلام کرد که عامل تهدید هیچ کدی را برای برنامه‌ها و زیرساخت‌های اصلی آن ندزدیده است.
در نتیجه این نقض، Dropbox اعلام کرد که کل پلت فرم آن به زودی “توسط WebAuthn با توکن های سخت افزاری یا عوامل بیومتریک ایمن می شود”.
حملات فیشینگ می تواند حتی افراد با تجربه را فریب دهد
حملات فیشینگ با گذشت سال‌ها پیچیده‌تر می‌شوند، تا جایی که در حال حاضر شناسایی یک ایمیل یا وب‌سایت مخرب دشوار است. با این حال، استفاده از اقدامات امنیتی کافی مانند نرم افزار آنتی ویروس و فیلترهای هرزنامه، برای محافظت از خود در برابر کلاهبرداری های فیشینگ تا حد امکان بسیار مهم است.