Durante a varredura de vazamentos de dados confidenciais realizada pela empresa RedHunt Labs em repositórios do GitHub, foi identificada a publicação em um repositório público de um token da API, que permite acesso irrestrito a repositórios internos da empresa Mercedes-Benz, hospedados em um servidor interno baseado na plataforma GitHub Enterprise Server. Suspeita-se que o token tenha sido publicado acidentalmente por um dos funcionários da Mercedes-Benz entre o código que foi disponibilizado no repositório público do GitHub.
O token está no repositório desde 29 de setembro de 2023 e foi identificada em 11 de janeiro de 2024. Após a notificação da empresa sobre o incidente em 24 de janeiro, o token foi revogado. Segundo representantes da Mercedes-Benz, com o token exposto era possível acessar não todo o código-fonte disponível em servidor, mas apenas repositórios internos específicos da empresa. O relatório dos pesquisadores que identificararam o token menciona que nos repositórios internos que podiam ser acessados por meio do token encontrado, havia documentação técnica confidencial e informações que constituem segredo comercial, além de dados sensíveis, como credenciais para acessar o SGBD, chaves de acesso a serviços em nuvem, chaves de acesso à API e senhas para serviços.
Adicionalmente, cabe destacar que a empresa Escape realizou uma varredura em um milhão domínios de chaves e tokens de API disponíveis publicamente. Durante a varredura, na qual 189,5 milhões de URLs foram analisadas, foram identificadas 18.458 chaves e tokens incorporados nas páginas, dos quais 41% são considerados críticos, ou seja, sua perda resulta em riscos financeiros significativos. Por exemplo, os pesquisadores estimam que o valor dos recursos que podem ser acessados através dos tokens deixados nas páginas para acessos à API do Stripe é de cerca de 20 milhões de dólares.
Entre os dados confidenciais identificados nas páginas, mencionam-se tokens de acesso ao GitHub (51,5%), GitLab, Stripe (0,9%), OpenAI (1,4%), AWS, Twitch (0,7%), Coinbase, X/Twitter (2,7%), Slack (9,5%) e Discord (1,2%), além de chaves RSA privadas (26,3%). 35% das chaves e tokens identificados estavam presentes em arquivos JavaScript. Em 2,1% dos casos, os dados confidenciais foram encontrados em arquivos gerados pela compilação de código JavaScript em um único arquivo.
Fonte: opennet.ru
