ابزارهای زیباسازی کد، اعتبارنامه‌های بانک‌ها، دولت و سازمان‌های فناوری را فاش می‌کنند

هزاران اعتبارنامه، کلیدهای احراز هویت و داده‌های پیکربندی مربوط به سازمان‌های فعال در بخش‌های حساس، در قطعه‌کدهای JSON قابل دسترسی عمومی که به ابزارهای آنلاین JSONFormatter و CodeBeautify ارسال شده‌اند، در معرض نمایش قرار گرفته‌اند. محققان بیش از ۸۰ هزار کد کاربری با حجم بالای ۵ گیگابایت را کشف کردند که از طریق ویژگی “Recent Links” این سرویس‌ها برای همه قابل دسترسی است. برخی از شرکت‌ها و سازمان‌هایی که اطلاعات حساس آن‌ها به این شکل فاش شده، در بخش‌های پرخطر مانند دولتی، زیرساخت‌های حیاتی، بانکداری، بیمه، هوافضا، بهداشت، آموزش، امنیت سایبری و مخابرات فعالیت می‌کنند.

محققان شرکت WatchTowr با بررسی این پلتفرم‌ها دریافتند که ویژگی Recent Links دسترسی به قطعه‌کدهای JSON ذخیره‌شده توسط کاربران را بدون هیچ لایه حفاظتی فراهم می‌کند. در میان اطلاعات فاش‌شده، اعتبارنامه‌های Active Directory، کلیدهای خصوصی، توکن‌های مخازن کد، اطلاعات شخصی قابل شناسایی (PII) و حتی اعتبارنامه‌های AWS مربوط به سیستم Splunk SOAR یک بورس بین‌المللی وجود داشت. محققان با استفاده از سرویس Canarytokens کلیدهای جعلی AWS ایجاد کردند و پس از ۴۸ ساعت، تلاش‌هایی برای استفاده از این کلیدها ثبت شد که نشان‌دهنده فعالیت مهاجمان در اسکن این منابع است.