Đơn vị nghiên cứu bảo mật có trụ sở tại Anh Quốc, RedHunt Labs vừa phát hiện ra, một nhân viên của Mercedes-Benz đã vô tình làm lộ token xác thực tài khoản trên thư viện GitHub. Với token xác thực này, hoàn toàn có thể đăng nhập một cách thoải mái vào máy chủ bảo mật của hãng xe Đức, từ đó truy xuất trái phép những bí mật kinh doanh cũng như nhiều thông tin quan trọng khác.
RedHunt phát hiện ra token xác thực này thông qua một đợt quét và kiểm tra những cơ sở dữ liệu công khai hồi tháng 1. Nhưng họ phát hiện ra rằng token xác thực của nhân viên Mercedes-Benz đã vô tình bị lộ suốt từ tháng 9/2023. Chỉ cần token này, GitHub Enterprise Server của Mercedes-Benz thuê và vận hành sẽ rơi vào tay của bất kỳ ai có ý đồ xâm nhập máy chủ.
Trong đó, là những tài liệu bản quyền sở hữu trí tuệ, bản thiết kế, cùng rất nhiều thông tin được coi là bí mật kinh doanh của hãng xe. Cùng với đó, cũng trên máy chủ doanh nghiệp mà Mercedes-Benz sử dụng trên GitHub, là key đăng nhập máy chủ đám mây, API key, và rất nhiều mật khẩu. Những kẻ có ý đồ xấu hoàn toàn có thể sử dụng những thông tin này để phá hoại quy trình vận hành và kinh doanh của hãng.
Đáng lo ngại hơn, theo đồng sáng lập RedHunt Labs, Shubham Mittal cho biết, có bằng chứng Mercedes-Benz đã bị lộ cả key xác thực đăng nhập những máy chủ Microsoft Azure và Amazon Web Services, cùng cơ sở dữ liệu Postgres, và thậm chí là cả mã nguồn phần mềm vận hành hệ thống điện tử trong những chiếc xe Mercedes. Phần nào may mắn là những máy chủ có thể đăng nhập bằng token xác thực vô tình bị lộ hoàn toàn không chứa dữ liệu cá nhân của khách hàng Mercedes-Benz.
Sau khi RedHunt chia sẻ thông tin này với TechCrunch, thì Mercedes-Benz cũng đã được thông báo. Người phát ngôn hãng xe Đức xác nhận token xác thực đã bị vô hiệu hóa. Hiện chưa có bằng chứng cho thấy sơ hở nghiêm trọng của nhân viên hãng xe bị những tội phạm công nghệ cao lợi dụng để làm hại tới quá trình kinh doanh của hãng xe.
Nguồn: Alfonso Maruccia, https://www.techspot.com/news/101707-mercedes-benz-accidentally-shared-source-code-business-secrets.html
