Medya kuruluşunun bu hafta kısmen doğruladığı bir olayın parçası olarak, bir 4chan kullanıcısı, iddiaya göre popüler Wordle oyunu ve işin diğer bölümlerinin kaynak kodu da dahil olmak üzere 270 GB dahili New York Times verisini sızdırdı.
Anonim 4chan kullanıcısı, çoğunluğu şifrelenmemiş olan ve toplamda 3,6 milyon dosya içeren 5.000 GitHub deposuna erişim elde ettiğini iddia etti. New York Times Company’ye ait kaynak kodu“
Siber suçlulardan gelen bu tür iddialara her zaman ihtiyatla yaklaşılmalıdır. Ancak en az bir araştırmacı, Alex Ivanovs, şunu söylüyor: Verilerin bir kısmının meşru olduğu doğrulandıWordle’un kaynak kodu dahil; adları, e-posta adresleri ve karma şifreleri olan 1.500 New York Times Education sitesi kullanıcısından oluşan bir WordPress veritabanı; dahili Slack iletişimi; ve “URL’ler ve ilgili şifreler, gizli anahtarlar ve API belirteçleri gibi kimlik doğrulama ayrıntıları. … Bu tür sırların birçoğunun acilen ele alınması gerekiyor.”
Gri Leydi’nin sözcüsü ise verilere Ocak ayında erişildiğini doğruladı ancak olayın ayrıntılı ayrıntılarını doğrulamadı.
New York Times’ın dış iletişimlerden sorumlu genel müdürü Charlie Stadtlander, “Times bilgilerinin yakın zamanda çevrimiçi olarak yayınlanmasıyla ilgili temel olay, Ocak 2024’te, bulut tabanlı bir üçüncü taraf kod platformuna ait kimlik bilgilerinin yanlışlıkla kullanıma sunulmasıyla meydana geldi” diyor. haber odası ve görüş. “Sorun hızlı bir şekilde tespit edildi ve o sırada uygun önlemleri aldık. Times’ın sahip olduğu sistemlere yetkisiz erişim olduğuna veya bu olayla ilgili operasyonlarımızın etkilendiğine dair herhangi bir belirti yok. Güvenlik önlemlerimiz arasında anormal faaliyetlerin sürekli izlenmesi yer alıyor.”
Kaynak Kodu Sızıntılarının Geniş Kapsamlı Etkileri Var
Eğer veri deposu gerçekten de iddia edildiği kadar kapsamlıysa, bunun sonuçları hem Times’ın kendisi hem de aboneler için önemli olabilir.
“Çok kaynak kodunun doğası, kötü niyetli aktörlerin KnowBe4’ün güvenlik farkındalığı baş savunucusu Javvad Malik, e-postayla gönderdiği bir bildiride, bunu siber saldırılarda yararlanılabilecek güvenlik açıkları açısından inceleyebilir” dedi. “Ayrıca, veri havuzlarının yalnızca küçük bir kısmının şifrelendiği iddiası, veri koruma stratejilerinde potansiyel bir boşluğun altını çiziyor “
Synopsys’in baş güvenlik danışmanı Thomas Richards, bir e-postada kaynak kodunun açığa çıkmasının siber suçluların herhangi bir sayıda hain saldırıda kullanılmak üzere uygulamalara, oyunlara ve dahili altyapıya müdahale etmesine de olanak verebileceğini ekledi.
“NYTimes güvenlik ekibi aracılığıyla alarm zillerinin çalınması gereken şey, birisinin ağ içinde kaynak koduna bile erişim için ayrıcalıklı bir erişim düzeyine sahip olmasıdır” dedi. “Eğer ağa yalnızca kodu görüntülemek için girmiş olsalardı, aynı zamanda kodu kurcalayıp güvenlik açıklarını veya arka kapıları tanıtın ek uzlaşmaya izin vermek. NYTimes’ın, kurcalanmadığından veya izinsiz değişiklik yapılmadığından emin olmak için tüm kaynak kodlarını kapsamlı bir şekilde incelemesi gerekiyor.”
Etkilenen veriler birçok korkudan daha az etkilese de, olay en son olaydır. yakın zamanda Ticketmaster ihlali ortaya çıktısergileme üçüncü taraf bulut varlıklarının güvenliğinin sağlanmasıyla ilgili sorunlar.
Bu gelişmekte olan bir hikaye.