Dropbox 披露了一个安全漏洞，因为威胁者在使用网络钓鱼攻击中被盗的员工凭证访问其一个 GitHub 帐户后窃取了 130 个代码存储库。
该公司于 10 月 14 日发现攻击者入侵了该帐户，当时 GitHub 通知它在警报发出前一天开始的可疑活动。
Dropbox透露：“迄今为止，我们的调查发现，该威胁参与者访问的代码包含 Dropbox 开发人员使用的一些凭据——主要是 API 密钥。” 周二
“代码和它周围的数据还包括 属于 Dropbox 员工、当前和过去客户、销售线索和供应商的数千个姓名和电子邮件地址（就上下文而言，Dropbox 拥有超过 7 亿注册用户）。”
成功的入侵是由于网络钓鱼攻击针对多名 Dropbox 员工，他们使用冒充 CircleCI 持续集成和交付平台的电子邮件并将他们重定向到网络钓鱼登录页面，要求他们输入 GitHub 用户名和密码。
在同一个网络钓鱼页面上，员工还被要求“使用他们的硬件认证密钥来传递一次性密码 (OTP)”。
130 个代码库在违规期间被盗
在窃取了 Dropboxers 的凭据后，攻击者获得了对 Dropbox 的 GitHub 组织之一的访问权限，并窃取了其 130 个代码存储库。
该公司补充说：“这些存储库包括我们自己的第三方库副本，其经过略微修改以供 Dropbox 使用，内部原型，以及安全团队使用的一些工具和配置文件。”
“重要的是，它们没有包含我们核心应用程序或基础设施的代码。对这些存储库的访问更加受限和严格控制。”
Dropbox 补充说，攻击者从未访问过客户的帐户、密码或支付信息，其核心应用程序和基础设施并未因此次违规行为而受到影响。
为应对这一事件，Dropbox 正在努力使用 WebAuthn 和硬件令牌或生物特征因素来保护其整个环境。
9 月，其他 GitHub 用户 也遭到了类似的攻击 ，他们冒充 CircleCI 平台并要求他们登录其 GitHub 帐户以接受用户条款和隐私政策更新以继续使用该服务。
“虽然 GitHub 本身没有受到影响，但该活动已经影响了许多受害组织，”GitHub 在当时的一份咨询中表示。
GitHub 表示，它几乎在入侵后立即检测到从私人存储库中泄露的内容，威胁参与者使用 VPN 或代理服务使追踪它们变得更加困难。
转载请注明：VPS资讯_海外云服务器资讯_海外服务器资讯_IDC新闻 » Dropbox披露黑客窃取130个GitHub存储库后的违规行为
