Wystarczyło zostawić admin:admin na GitHubie.
Kody źródłowe należące do Nissana wyciekły do sieci po błędnej konfiguracji repozytorium Git. Nissan miał rzekomo obsługiwać serwer Bitbucket Git z domyślnymi poświadczeniami admin:admin.
Problem dotknął amerykański oddział firmy
Najwyraźniej kod źródłowy aplikacji mobilnych i narzędzi wewnętrznych opracowanych i używanych przez Nissan North America wyciekł do Internetu po tym, jak firma źle skonfigurowała jeden ze swoich serwerów Git. Wyciek pochodzi z serwera Git, który został praktycznie wystawiony na publiczny dostęp dla każdego posiadającego dostęp do sieci Internet. Jak? Został on skonfigurowany z domyślną kombinacją nazwy użytkownika i hasła admin:admin. Tak przynajmniej wynika póki co z informacji przekazanych przez szwajcarską inżynier oprogramowania Tillie Kottmann.
Kottmann, która dowiedziała się o wycieku z anonimowego źródła i przeanalizowała dane Nissana w poniedziałek, powiedziała, że repozytorium Git zawiera kod źródłowy:
- Nissan NA (aplikacja mobilna)
- niektóre elementy narzędzia diagnostycznego Nissan ASIST
- Dealer Business Systems / Dealer Portal
- Nissan internal core mobile library
- usługi Nissan/Infiniti NCAR/ICAR
- pewne narzędzia dotyczące utrzymania i zdobywania klientów
- różnego rodzaju narzędzia marketingowe
- software związany z usługą Nissan Connect
- inne mechanizmy backendowe i narzędzia
Reakcja Japończyków
Serwer Git (instancja Bitbucket) został wyłączony od razu po tym, jak w sieci zaczęły krążyć dane w postaci linków torrentowych udostępnianych na kanałach Telegrama i forach hakerskich. Po otrzymaniu komentarza rzecznik Nissana potwierdził incydent.
Nissan przeprowadził natychmiastowe dochodzenie w sprawie niewłaściwego dostępu do zastrzeżonego kodu źródłowego firmy. Traktujemy tę sprawę poważnie i jesteśmy przekonani, że żadne dane osobowe konsumentów, sprzedawców lub pracowników nie były dostępne w związku z tym incydentem związanym z bezpieczeństwem. System, którego dotyczy problem, został zabezpieczony. Jesteśmy przekonani, że w ujawnionym kodzie źródłowym nie ma informacji, które mogłyby narazić konsumentów lub ich pojazdy na ryzyko
Sprawdź oferty pracy na TeamQuest
Szwajcarscy badacze natrafili na trop afery z serwerem Git Nissana po tym, jak w maju 2020 roku znaleźli podobnie źle skonfigurowany serwer GitLab, z którego wyciekł kod źródłowy różnych aplikacji i narzędzi Mercedes Benz. Mercedes ostatecznie przyznał się do wycieku, a Kottmann, która również wtedy aktywnie uczestniczyła w badaniu tego wycieku danych, usunąła je ze swojego serwera na żądanie firmy.
Cóż, przynajmniej Nissan nie użył jednego z tych haseł.
