Dropbox 직원을 대상으로 한 피싱 공격으로 개인 저장소 130개 유출

Dropbox는 공격자가 GitHub에 호스팅된 130개의 개인 저장소에 액세스한 사건에 대한 정보를 공개했습니다. 손상된 저장소에는 Dropbox의 요구에 맞게 수정된 기존 오픈 소스 라이브러리의 포크, 일부 내부 프로토타입, 보안 팀에서 사용하는 유틸리티 및 구성 파일이 포함되어 있는 것으로 알려졌습니다. 이 공격은 별도로 개발된 기본 애플리케이션 및 핵심 인프라 요소에 대한 코드가 포함된 리포지토리에는 영향을 미치지 않았습니다. 분석 결과, 공격으로 인해 사용자 기반 유출이나 인프라 손상이 발생하지 않은 것으로 나타났습니다.

피싱 피해자가 된 직원 중 한 명의 자격 증명을 가로채서 저장소에 대한 액세스 권한을 얻었습니다. 공격자는 서비스 규칙 변경 사항에 대한 동의를 확인하라는 요구 사항과 함께 CircleCI 지속적 통합 시스템의 경고로 가장하여 직원에게 편지를 보냈습니다. 이메일에 포함된 링크는 CircleCI 인터페이스와 유사한 스타일의 가짜 웹사이트로 연결되었습니다. 로그인 페이지에서는 GitHub의 사용자 이름과 비밀번호를 입력하고 하드웨어 키를 사용하여 2단계 인증을 통과하기 위한 일회용 비밀번호를 생성하도록 요청했습니다.

출처 : opennet.ru