تسريب 5 جيجابايت من البيانات الحساسة للشركات والحكومات

كشف باحثون في مجال الأمن السيبراني عن وجود آلاف بيانات الاعتماد، ومفاتيح المصادقة، وملفات التهيئة الحساسة على الإنترنت، متاحة للعامة عبر منصتي JSONFormatter و CodeBeautify اللتين تقدمان أدوات لتنسيق وهندسة الكود. تأتي هذه التسريبات عبر ميزة تُعرف باسم “Recent Links”، والتي تسمح للمستخدمين بمشاركة ملفات JSON مؤقتة بسهولة، لكنها تفتقر لأي طبقة حماية.

حجم التسريبات وتأثيرها على القطاعات الحساسة

تمكّن فريق watchTowr، المتخصص في إدارة السطح الخارجي للهجمات الإلكترونية، من جمع أكثر من 80,000 ملف JSON بلغ حجمها الإجمالي أكثر من 5 جيجابايت، تحتوي على معلومات حساسة تم نشرها على المنصتين خلال خمس سنوات بالنسبة لـ JSONFormatter، وسنة واحدة بالنسبة لـ CodeBeautify.

وتشمل المعلومات المسربة معلومات حساسة تخص شركات ومؤسسات في قطاعات عالية المخاطر مثل: الحكومة، البنية التحتية الحرجة، البنوك، التأمين، الطيران، الرعاية الصحية، التعليم، الأمن السيبراني، والاتصالات.

أنواع المعلومات المسربة

تشمل المعلومات التي تم تسريبها:

• بيانات اعتماد Active Directory

• بيانات اعتماد قواعد البيانات والحوسبة السحابية

• المفاتيح الخاصة والتشفير

• رموز الوصول إلى مستودعات الكود

• أسرار CI/CD

• مفاتيح بوابات الدفع

• رموز API

• تسجيلات جلسات SSH

• كميات كبيرة من المعلومات الشخصية (PII) بما في ذلك بيانات التعرف على العملاء (KYC)

• بيانات اعتماد AWS مستخدمة من قبل نظام Splunk SOAR لبورصة دولية

• بيانات اعتماد بنكية مسربة عبر بريد إلكتروني تابع لمزود خدمات الأمن المُدار (MSSP)

في إحدى الحالات، تضمنت معلومات حساسة للغاية لشركة أمن سيبراني، بما في ذلك “معلومات اعتماد مشفرة لملف تكوين حساس”، كلمات مرور الشهادات SSL، أسماء وعناوين مضيفين داخلية وخارجية، ومسارات مفاتيح وشهادات وملفات التهيئة.

تسريبات من المؤسسات الحكومية والشركات

احتوت ملفات JSON المسربة من جهة حكومية على 1,000 سطر من كود PowerShell لإعداد مضيف جديد، بما يشمل تنزيل البرامج، وضبط مفاتيح التسجيل، وتشديد الإعدادات، ونشر تطبيق ويب. ورغم أن السكربت لم يتضمن بيانات حساسة مباشرة، فإنه قدم معلومات قيمة يمكن للمهاجمين استخدامها، مثل تفاصيل حول نقاط النهاية الداخلية وإعدادات IIS ومفاتيح التسجيل الخاصة بالتحصين.

شركة تقنية متخصصة في خدمة Data Lake-as-a-Service كشفت عن ملف تكوين للبنية التحتية السحابية يحوي أسماء نطاقات، عناوين بريد إلكتروني، أسماء مضيفين، وبيانات اعتماد لخدمات مثل Docker Hub و Grafana و JFrog وقواعد معلومات RDS.

كما اكتشف الباحثون بيانات AWS صالحة للإنتاج مرتبطة بأتمتة Splunk SOAR لإحدى البورصات المالية الكبرى.

مزود خدمات الأمن المُدار (MSSP) سرب معلومات اعتماد Active Directory لبيئته، إضافة إلى بيانات اعتماد بريد إلكتروني وبطاقات تعريفية لبنك أمريكي، وهو من أبرز عملاء MSSP.

اختبار استخدام البيانات من قبل المهاجمين

لاحظ الباحثون أن الجهات الخبيثة تفحص باستمرار الأنظمة سهلة الوصول للبحث عن المعلومات الحساسة. لاختبار ذلك، قاموا بإنشاء مفاتيح AWS مزيفة عبر خدمة Canarytokens ووضعوها على المنصتين. وبعد 48 ساعة من الحفظ، سجل نظام المختبر محاولات وصول إلى هذه المفاتيح، أي بعد انتهاء صلاحية الروابط، ما يدل على أن المهاجمين يقومون بمسح تلقائي للمعلومات المتاحة للعامة.

أبلغت watchTowr العديد من المؤسسات المتأثرة، وقد قامت بعض الشركات بإصلاح الثغرات، في حين لم ترد العديد من المؤسسات الأخرى. حتى اليوم، تظل روابط “Recent Links” متاحة للعامة على المنصتين، مما يسمح للجهات الخبيثة بالوصول إلى البيانات الحساسة بسهولة.