AdAfruit, halka açık bir GitHub deposu nedeniyle meydana gelen bir veri sızıntısı açıkladı.
Şirket, bunun, "yetkisiz erişimin", 2019'da veya öncesinde belirli kullanıcılar hakkında bilgilere izin verebileceğinden şüphelenebilir.
New York'ta bulunan AdAfruit, 2005 yılından beri bir açık kaynaklı donanım bileşenlerinin üreticisidir. Şirket, elektronik ürünleri, araçları ve aksesuarları tasarlar, üretir ve satar.
4 Mart Cuma günü, AdAfruit, halka açık bir GitHub deposunun, bazı kullanıcı hesaplarında bilgi içeren bir veri seti içerdiğini açıkladı. Bu bilgi dahil:
AdaFruit'e göre veri seti, herhangi bir kullanıcı şifresi veya kredi kartı gibi finansal bilgi içermiyordu. Bununla birlikte, emri detayları dahil olmak üzere gerçek kullanıcı verilerinin maruz kalması, spam gönderenler ve kimlik avı oyuncuları tarafından Adafruit'in müşterilerini hedef alacak şekilde kullanılabilir.
İlginç bir şekilde, veri sızıntısı, Adafruit'in Github deposundan ancak eski bir çalışanın bu olmadı. Eski bir çalışanın, GitHub Repo'nundaki eğitim ve veri analizi işlemleri için gerçek müşteri bilgilerini kullandığı anlaşılmaktadır.
"İstenmeyen açıklamalar hakkında 15 dakikalık bildirildiğinde, AdAfruit eski çalışanla çalıştı, ilgili GitHub deposunu sildi ve AdAfruit ekibi, herhangi bir erişimin ve ne tür bir veri içerdiğini belirlemek için adli işlemi başlattı," Şirketi açıkladı.
Şu anda, AdAfruit, maruz kalan bilgilerin bir rakip tarafından kötüye kullanıldığını ve "şeffaflık ve hesap verebilirlik için" olayı açıkladığını iddia etmenin farkında değildir.
Ancak şirket, her kullanıcıyı olayla ilgili e-postayla göndermemeye karar vermiştir. Güncelleme: Bu raporun yayınlanmasından sonra, AdAfruit konumunu revize etti ve şimdi gerçekten e-posta kullanıcıları olacak.
"Topluluktan ve müşterilerimizden gelen geri bildirimleri takdir ediyoruz ve kullanıcıları bu açıklamanın bir parçası olarak e-postayla gönderiyoruz. .
Adafruit, tüm güvenlik açıklamaları Şirket'in blog ve güvenlik sayfalarında yayınlanmasına rağmen, kullanıcıların şifre veya ödeme kartı bilgilerinin veri analizinde belirlenmemiş olarak gerçekleştirmeleri için bir işlem olmadığını açıklar.
Adafruit, "Riski değerlendirdik ve gizlilik avukatlarımıza ve yasal uzmanlarımıza danıştık ve açık ve şeffaf olduğum ve doğrudan e-postanın bu durumda yardımcı olmadığını düşündüğümüz yaklaşımı aldı," dedi. ve kurucu limor "Ladyada" kızartılmış daha önce belirtilmişti.
Ancak, tüm adafruit müşterileri ikna olmadılar, bazı zorlu e-posta bildirimleri, olayla ilgili olarak gönderilir:
@Adafruit lütfen @haveibeenpwned ile çalışın @Troyhunt bu uyarıları çıkarmak için Özellikle saygı duyduğumuz bir şirketten beklediğimiz şey bu.
Kullanıcılar arasında önemli bir endişe, otomatik olarak oluşturulan "sahte" evreleme verilerini kullanmanın aksine, eski bir ekip üyesinin Github repo'sunda gerçek müşteri bilgilerinin varlığıdır. Ve, bu bilgilerin kimlik avı aktörleri tarafından nasıl kötüye kullanılabileceğini gösterir:
Benim de benim düşüncemdi. Bir python programının onlar için üretebileceği bir şey gibi görünüyor. % 100 garantili olmayan telefon numaralarına sahip sahte kullanıcı verileri üretmek için bir tane yazdım, CC ve SSN doğrulamasını geçer ... Sadece dolandırıcılarla uğraşmak için.
Github depolarındaki gerçek müşteri verilerini, hatta özel olanlardaki gerçek müşteri verilerini korumaya değer, riskli bir karardır.
Geçen yıl, e-ticaret devi Mercari, bankacılık bilgileri de dahil olmak üzere 17.000'den fazla müşteri kayıtlarını ortaya çıkaran özel Github repo'ları aracılığıyla bir veri sızıntısı geçirmişti. Rapid7 ayrıca "Müşterilerin küçük bir alt kümesini" etkileyen özel Github repo ile bir veri sızıntısı yaşadı.
ADAFRITIT, "Ek olarak, daha fazla protokol ve daha fazla protokol ve çalışanı eğitim kullanımı için erişimin sınırlandırılmasını önlemek için daha fazla protokol ve erişim kontrolüne koyuyoruz" diyor.
Kullanıcılar, kimlik avı dolandırıcılığı veya iletişim için uyanık kalmaları gerekir. Şirket, özellikle mağdurları şifrelerini vermeye başlayabilecek olan "Şifre Sıfırlama" uyarılarına karşı uyarılar.
Bu tür şüpheli e-postalarla ilgili endişelerin ya da tehdit aktörleri tarafından yetkisiz erişim girişimlerine ilişkin endişelerinin güvenlik@adafruit.com adresine yönlendirildiğini talep eder.
Güncelleme 7 Mart, 11:18 AM: Bu raporun yayınlanmasından sonra, AdAfruit pozisyonunu revize etti ve kullanıcılara e-posta göndereceğini belirtti. AdAfruit'in yeni ifadesini ekledi.
GitHub Arctic Vault muhtemelen sızdırılmış Meddata hasta kayıtları içerir
Samsung, Hacker'ların Galaxy Cihazları Kaynak Kodunu çaldığını doğrular
Hackers 190 GB İddia Edilen Samsung Verisi, Kaynak Kodu
Rusya-Ukrayna Savaşı, kötü amaçlı yazılım dağıtım için yem olarak sömürüldü
Sosyal medya kimlik avı saldırıları her zaman yüksek
Kaynak: Bleeping Computer