本文來自微信公眾號(hào)“GoUpSec”。
紐約時(shí)報(bào)（The New York Times）近日遭遇重大數(shù)據(jù)泄露事件。據(jù)惡意軟件分析平臺(tái)XV Underground披露，一名匿名黑客在4chan論壇上泄露了270GB的紐約時(shí)報(bào)數(shù)據(jù)，這些數(shù)據(jù)來自紐約時(shí)報(bào)的GitHub賬戶。
紐約時(shí)報(bào)在聲明中確認(rèn)，此次泄露事件發(fā)生在2024年1月，原因是意外暴露了GitHub的賬戶憑據(jù)。
據(jù)報(bào)道，泄露的數(shù)據(jù)包含約360萬個(gè)文件，其中包括其網(wǎng)站、移動(dòng)應(yīng)用程序、內(nèi)部工具和內(nèi)容管理系統(tǒng)的源代碼。還包含一個(gè)教育網(wǎng)站的1500個(gè)用戶信息數(shù)據(jù)庫，以及紐約時(shí)報(bào)在2022年收購的游戲Wordle的源代碼和各種身份驗(yàn)證方法，如URL、密碼、密鑰和API令牌。甚至包括一些私有用戶密鑰。
泄露的信息還包括Slack頻道中的內(nèi)部通信，可能會(huì)暴露關(guān)于紐約時(shí)報(bào)運(yùn)營、編輯流程和員工討論的敏感信息。
泄露數(shù)據(jù)的黑客聲稱，紐約時(shí)報(bào)擁有超過5000個(gè)源代碼庫，其中加密的不到30個(gè)。這次泄露可能揭示關(guān)于紐約時(shí)報(bào)內(nèi)部IT架構(gòu)和軟件開發(fā)實(shí)踐的信息，使攻擊者能夠利用該組織的基礎(chǔ)設(shè)施。
這些泄露文件目前可以通過torrent鏈接下載，其中包括6200個(gè)存儲(chǔ)庫的列表，數(shù)據(jù)存儲(chǔ)在三個(gè)文件夾中：nytimes、nytm和TheAthletic。The Athletic文件夾包含iOS.tar和android.tar文件，分別包含Athletics移動(dòng)應(yīng)用程序的源代碼。
紐約時(shí)報(bào)確認(rèn)，沒有證據(jù)表明其內(nèi)部系統(tǒng)遭到未經(jīng)授權(quán)的訪問或運(yùn)營受到影響。
盡管此次泄露涉及的是IT/基礎(chǔ)設(shè)施/網(wǎng)站組織的數(shù)據(jù)，而非負(fù)責(zé)報(bào)道和編輯內(nèi)容的新聞組織（這些平臺(tái)使用不同的GitHub實(shí)例，且訪問控制更嚴(yán)格），但這一事件仍然引發(fā)了廣泛關(guān)注，因?yàn)檫@是繼最近ClubPenguin文件事件之后，第二次發(fā)生專有信息泄露到4chan論壇。
