เขียนโดย:
ซอร์สโค้ดของ Nissan รั่วไหลทางออนไลน์ในปี 2021: สิ่งที่คุณต้องรู้
สรุปอย่างรวดเร็ว
ในปี 2021 ซอร์สโค้ดของ Nissan สำหรับแอปมือถือ เครื่องมือวินิจฉัย และซอฟต์แวร์ภายในอื่นๆ รั่วไหลทางออนไลน์ เนื่องจากเซิร์ฟเวอร์ Git ที่กำหนดค่าไม่ถูกต้องปล่อยให้สามารถเข้าถึงได้โดยใช้ข้อมูลรับรองเริ่มต้น
Nissan หนึ่งในผู้ผลิตรถยนต์รายใหญ่ที่สุดในโลก ตกเป็นข่าวในปี 2021 เมื่อซอร์สโค้ดของบริษัทรั่วไหลทางออนไลน์ หลังจากการกำหนดค่าเซิร์ฟเวอร์ Bitbucket Git ผิดพลาดอย่างเห็นได้ชัด
เหตุการณ์ดังกล่าวทำให้เกิดความกังวลเกี่ยวกับความปลอดภัยของระบบของผู้ผลิตและผลกระทบที่อาจเกิดขึ้นกับลูกค้า
การรั่วไหลนี้ถูกค้นพบโดยวิศวกรซอฟต์แวร์ชาวสวิส Tillie Kottmann ผู้ซึ่งได้รับคำแนะนำเกี่ยวกับเซิร์ฟเวอร์ Git ของ Nissan
Kottmann วิเคราะห์ข้อมูลและพบว่าพื้นที่เก็บข้อมูลมีซอร์สโค้ดของแอปมือถือต่างๆ ของ Nissan, ส่วนหนึ่งของเครื่องมือวินิจฉัย Nissan ASIST, ระบบธุรกิจของตัวแทนจำหน่าย/พอร์ทัลของตัวแทนจำหน่าย, ห้องสมุดมือถือหลักภายในของ Nissan, บริการ Nissan/Infiniti NCAR/ICAR และ เครื่องมือการได้มาและการรักษาลูกค้า
ประเด็นที่สำคัญ
- ซอร์สโค้ดของ Nissan สำหรับแอพมือถือและเครื่องมือภายในต่างๆ รั่วไหลทางออนไลน์ เนื่องจากการกำหนดค่าเซิร์ฟเวอร์ Bitbucket Git ไม่ถูกต้อง
- ความกังวลเกี่ยวกับความปลอดภัยของระบบของนิสสันและผลกระทบที่อาจเกิดขึ้นกับลูกค้า
- เหตุการณ์ดังกล่าวเน้นย้ำถึงความจำเป็นในการดำเนินมาตรการป้องกันในอุตสาหกรรมยานยนต์ เพื่อหลีกเลี่ยงเหตุการณ์ที่คล้ายคลึงกันในอนาคต
ผู้เชี่ยวชาญใช้เวลา:
“การรั่วไหลของซอร์สโค้ดของนิสสันในปี 2021 ตอกย้ำความสำคัญที่สำคัญของมาตรการรักษาความปลอดภัยที่แข็งแกร่งในยุคดิจิทัลในปัจจุบัน การละเมิดดังกล่าวทำหน้าที่เป็นเครื่องเตือนใจว่าไม่มีองค์กรใดรอดพ้นจากภัยคุกคามทางไซเบอร์ และแม้แต่ช่องโหว่เพียงจุดเดียวก็สามารถนำไปสู่ผลลัพธ์ที่สำคัญได้
จำเป็นอย่างยิ่งที่บริษัทต่างๆ จะต้องนำแนวทางเชิงรุกและองค์รวมมาใช้กับความปลอดภัยทางไซเบอร์ โดยมุ่งเน้นที่ไม่เพียงแต่การป้องกัน แต่ยังรวมถึงการตรวจจับและการตอบสนองต่ออย่างรวดเร็วเพื่อลดความเสียหายที่อาจเกิดขึ้น”
ข้อมูลนิสสันรั่วไหล: เกิดอะไรขึ้น?
ในเดือนมกราคม 2021 มีรายงานว่าที่เก็บโค้ดหลายแห่งจาก Nissan North America เผยแพร่สู่สาธารณะหลังจากที่บริษัทออกจากเซิร์ฟเวอร์ Git ที่ถูกเปิดเผยซึ่งได้รับการป้องกันด้วยข้อมูลรับรองการเข้าถึงเริ่มต้น
การรั่วไหลนี้ถูกค้นพบโดยวิศวกรซอฟต์แวร์ชาวสวิส Tillie Kottmann ซึ่งได้รับคำแนะนำเกี่ยวกับเซิร์ฟเวอร์ Git ของ Nissan หลังจากพบเซิร์ฟเวอร์ GitLab ที่กำหนดค่าไม่ถูกต้องในทำนองเดียวกันในเดือนพฤษภาคม 2020 ซึ่งทำให้ซอร์สโค้ดของแอป Mercedes Benz ต่างๆ รั่วไหล
การรั่วไหลของข้อมูลของ Nissan รวมถึงซอร์สโค้ดของแอพมือถือ Nissan NA ต่างๆ บางส่วนของเครื่องมือวินิจฉัย Nissan ASIST ระบบธุรกิจของตัวแทนจำหน่าย/พอร์ทัลของตัวแทนจำหน่าย ห้องสมุดมือถือหลักภายในของ Nissan บริการ Nissan/Infiniti NCAR/ICAR และลูกค้าและตลาด เครื่องมือวิจัย
Kottmann วิเคราะห์ข้อมูลและแชร์ในบัญชี GitLab ทำให้ทุกคนบนอินเทอร์เน็ตสามารถเข้าถึงได้
การรั่วไหลเกิดขึ้นเนื่องจากมีรายงานว่า Nissan ใช้ "ผู้ดูแลระบบ" เป็นทั้งชื่อผู้ใช้และรหัสผ่านสำหรับเซิร์ฟเวอร์ Git ซึ่งเป็นข้อผิดพลาดทั่วไปที่แฮกเกอร์สามารถนำไปใช้ได้ง่าย
การรั่วไหลดังกล่าวได้เปิดเผยข้อมูลที่ละเอียดอ่อนเกี่ยวกับระบบภายในของนิสสัน ซึ่งอาจนำไปใช้โจมตีบริษัทหรือลูกค้าหากตกอยู่ในมือของผู้ไม่ประสงค์ดี
มีรายงานว่า Nissan ดำเนินการสอบสวนทันทีเกี่ยวกับการเข้าถึงซอร์สโค้ดของบริษัทที่ไม่เหมาะสม
ผลกระทบของข้อมูลรั่วไหลต่อนิสสัน
ซอร์สโค้ดที่รั่วไหลของแอพมือถือและเครื่องมือภายในของ Nissan North America ถือเป็นการละเมิดความปลอดภัยที่สำคัญซึ่งอาจส่งผลกระทบร้ายแรงต่อบริษัท การรั่วไหลมีสาเหตุมาจากเซิร์ฟเวอร์ Git ที่กำหนดค่าไม่ถูกต้องซึ่งถูกเปิดเผยบนอินเทอร์เน็ตด้วยชื่อผู้ใช้และรหัสผ่านเริ่มต้นของผู้ดูแลระบบ/ผู้ดูแลระบบ เซิร์ฟเวอร์ดังกล่าวถูกค้นพบโดยวิศวกรซอฟต์แวร์ชาวสวิส Tillie Kottmann ซึ่งยังพบเซิร์ฟเวอร์ GitLab ที่กำหนดค่าไม่ถูกต้องเช่นเดียวกัน ซึ่งทำให้ซอร์สโค้ดของแอปและเครื่องมือต่างๆ ของ Mercedes Benz รั่วไหล
นอกเหนือจากการสอบสวนภายในของ Nissan แล้ว การรั่วไหลยังสร้างความเสียหายอย่างมากต่อชื่อเสียงของบริษัท
ซอร์สโค้ดของ Nissan: สิ่งที่รั่วไหลออกมา
ตามข้อมูลของ Kottmann พื้นที่เก็บข้อมูล Git ที่รั่วไหลออกมามีซอร์สโค้ดต่อไปนี้:
- แอพมือถือ Nissan NA
- บางส่วนของเครื่องมือวินิจฉัย Nissan ASIST
- ระบบธุรกิจตัวแทนจำหน่าย / พอร์ทัลตัวแทนจำหน่าย
- ห้องสมุดเคลื่อนที่หลักภายในของนิสสัน
- บริการนิสสัน/อินฟินิตี้ NCAR/ICAR
- เครื่องมือการได้มาและการรักษาลูกค้า
- เครื่องมือการวิจัยตลาด
- สินทรัพย์ข้อมูล
เพื่อสรุปข้างต้น ซอร์สโค้ดที่รั่วไหลได้รวมข้อมูลที่ละเอียดอ่อน เช่น คีย์ API ข้อมูลรับรอง และข้อมูลที่เป็นกรรมสิทธิ์อื่นๆ
ใครเป็นผู้รับผิดชอบต่อข้อมูลนิสสันรั่วไหล?
ความรับผิดชอบสำหรับซอร์สโค้ดของ Nissan ที่รั่วไหลนั้นตกอยู่กับบริษัทเอง ไม่มีอะไรปิดบังสิ่งนั้น
การกำหนดค่าเซิร์ฟเวอร์ Git ไม่ถูกต้องเกิดจากการที่ชื่อผู้ใช้และรหัสผ่านของผู้ดูแลระบบ/ผู้ดูแลระบบเริ่มต้นถูกทิ้งไว้
นี่เป็นข้อผิดพลาดทั่วไปที่สามารถหลีกเลี่ยงได้อย่างง่ายดายโดยการเปลี่ยนข้อมูลรับรองการเข้าสู่ระบบเริ่มต้น
ไม่ชัดเจนว่าผู้ประสงค์ร้ายได้เข้าถึงซอร์สโค้ดที่รั่วไหลออกมาหรือไม่ แต่โอกาสที่จะเกิดอันตรายนั้นมีนัยสำคัญ
ในขณะที่บริษัทปิดอันดับหลังการรั่วไหล ผู้เชี่ยวชาญมองว่า Nissan น่าจะดำเนินการเพื่อบรรเทาอันตรายที่อาจเกิดขึ้นจากการรั่วไหล โดยทั่วไปจะรวมถึงการระบุช่องโหว่ในระบบและการใช้มาตรการเพื่อป้องกันการรั่วไหลในอนาคต
บทความที่เกี่ยวข้อง
โพสต์และบทความอื่น ๆ ที่คุณอาจสนใจ
