Le service d’h\u00e9bergement de fichiers Dropbox a r\u00e9v\u00e9l\u00e9 mardi avoir \u00e9t\u00e9 victime d’une campagne de phishing qui a permis \u00e0 des acteurs malveillants non identifi\u00e9s d’acc\u00e9der sans autorisation \u00e0 130 de ses r\u00e9f\u00e9rentiels de code source sur GitHub.<\/p>\n
“Ces r\u00e9f\u00e9rentiels comprenaient nos propres copies de biblioth\u00e8ques tierces l\u00e9g\u00e8rement modifi\u00e9es pour \u00eatre utilis\u00e9es par Dropbox, des prototypes internes et certains outils et fichiers de configuration utilis\u00e9s par l’\u00e9quipe de s\u00e9curit\u00e9”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. r\u00e9v\u00e9l\u00e9<\/a> dans un avis.<\/p>\n La violation a entra\u00een\u00e9 l’acc\u00e8s \u00e0 certaines cl\u00e9s API utilis\u00e9es par les d\u00e9veloppeurs de Dropbox ainsi qu’\u00e0 “quelques milliers de noms et d’adresses e-mail appartenant aux employ\u00e9s de Dropbox, aux clients actuels et pass\u00e9s, aux prospects et aux fournisseurs”.<\/p>\n Il a cependant soulign\u00e9 que les r\u00e9f\u00e9rentiels ne contenaient pas de code source li\u00e9 \u00e0 ses applications ou infrastructure principales.<\/p>\n Dropbox, qui propose des services de stockage dans le cloud, de sauvegarde de donn\u00e9es et de signature de documents, entre autres, compte plus de 17,37 millions d’utilisateurs payants et 700 millions d’utilisateurs enregistr\u00e9s au Ao\u00fbt 2022<\/a>.<\/p>\n La divulgation intervient plus d’un mois apr\u00e8s que GitHub et CircleCI ont mis en garde contre des attaques de phishing con\u00e7ues pour voler les informations d’identification de GitHub via de fausses notifications pr\u00e9tendant provenir de la plate-forme CI\/CD.<\/p>\n La soci\u00e9t\u00e9 bas\u00e9e \u00e0 San Francisco a not\u00e9 que “plusieurs Dropboxers ont re\u00e7u des e-mails de phishing se faisant passer pour CircleCI” d\u00e9but octobre, dont certains ont \u00e9chapp\u00e9 \u00e0 ses filtres anti-spam automatis\u00e9s pour atterrir dans les bo\u00eetes de r\u00e9ception des employ\u00e9s.<\/p>\n “Ces e-mails d’apparence l\u00e9gitime invitaient les employ\u00e9s \u00e0 visiter une fausse page de connexion CircleCI, \u00e0 saisir leur nom d’utilisateur et leur mot de passe GitHub, puis \u00e0 utiliser leur cl\u00e9 d’authentification mat\u00e9rielle pour transmettre un mot de passe \u00e0 usage unique (OTP) au site malveillant”, a expliqu\u00e9 Dropbox.<\/p>\n La soci\u00e9t\u00e9 n’a pas r\u00e9v\u00e9l\u00e9 le nombre de ses employ\u00e9s tomb\u00e9s dans le pi\u00e8ge de l’attaque de phishing, mais a d\u00e9clar\u00e9 qu’elle avait pris des mesures rapides pour faire pivoter toutes les informations d’identification de d\u00e9veloppeur expos\u00e9es et qu’elle avait alert\u00e9 les autorit\u00e9s charg\u00e9es de l’application de la loi.<\/p>\n Il a \u00e9galement d\u00e9clar\u00e9 n’avoir trouv\u00e9 aucune preuve que des donn\u00e9es client aient \u00e9t\u00e9 vol\u00e9es \u00e0 la suite de l’incident, ajoutant qu’il mettait \u00e0 niveau ses syst\u00e8mes d’authentification \u00e0 deux facteurs pour prendre en charge cl\u00e9s de s\u00e9curit\u00e9 mat\u00e9rielles<\/a> pour la r\u00e9sistance au phishing.<\/p>\n “Les professionnels vigilants peuvent \u00eatre la proie d’un message soigneusement con\u00e7u, livr\u00e9 de la bonne mani\u00e8re au bon moment”, a conclu la soci\u00e9t\u00e9. “C’est pr\u00e9cis\u00e9ment pourquoi le phishing reste si efficace.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663940313_323_Des-chercheurs-decouvrent-le-nouveau-Metador-APT-ciblant-les-operateurs.png\")
<\/a><\/div>\n