Nouvelle compromission d’Internet Archive via des jetons d’accès volés

Compromission de sécurité chez Internet Archive

• Aperçu de l’incident

  • Internet Archive a de nouveau subi une compromission de sécurité. Cette fois, l’incident provient de l’exposition d’un jeton d’authentification GitLab sur la plateforme d’assistance par e-mail Zendesk.
  • BleepingComputer a reçu plusieurs messages de personnes ayant obtenu une réponse à des demandes de retrait adressées à Internet Archive, avertissant que l’organisation avait été compromise faute d’avoir correctement remplacé ses jetons d’authentification.

• Compromission des e-mails Zendesk

  • L’acteur de la menace a pu utiliser un jeton Zendesk pour accéder à plus de 800 000 tickets de support envoyés à [e-mail] depuis 2018.
  • Les en-têtes des e-mails ont tous passé les vérifications d’authentification DKIM, DMARC et SPF, prouvant qu’ils avaient bien été envoyés depuis des serveurs Zendesk authentifiés.

• Exposition du jeton d’authentification GitLab

  • Le 9 octobre, BleepingComputer a rapporté qu’Internet Archive subissait deux attaques simultanées. L’une était une fuite de données ayant entraîné le vol des données de 33 millions d’utilisateurs, l’autre une attaque DDoS menée par le groupe pro-palestinien SN_BlackMeta.
  • La fuite de données a commencé par l’exposition d’un fichier de configuration GitLab, qui contenait un jeton d’authentification permettant de télécharger le code source d’Internet Archive.

• Une compromission pour la réputation cyber

  • Internet Archive n’a pas été compromis pour des raisons politiques ou financières, mais simplement parce que l’acteur de la menace en avait la capacité.
  • Il est probable que les données soient diffusées gratuitement afin de gagner en réputation dans la communauté des fuites de données.

Le point de vue de GN⁺

• L’incident de sécurité d’Internet Archive souligne l’importance de la gestion des jetons d’authentification. C’est une pratique de sécurité fondamentale, mais sa négligence peut entraîner de graves conséquences.
• Cette affaire illustre la compétition de réputation au sein de la communauté des fuites de données, et montre qu’une compromission peut aussi survenir par simple curiosité ou quête de notoriété.
• Parmi les projets proposant des fonctions similaires, on trouve les outils de gestion de la sécurité de GitHub, qui peuvent aider à mieux gérer les jetons d’authentification.

[GN⁺]

Avis Hacker News

• Déception face au fait qu’IA n’ait pas remplacé ses clés API

  • Aucune mesure n’a été prise alors que plusieurs semaines se sont écoulées depuis la faille de sécurité
  • Il est suspect que cela soit arrivé après avoir mis en colère des parties prenantes fortunées

• Les personnes ayant des connaissances en sécurité de l’information ont l’occasion d’offrir gratuitement leur expertise

• Il faut une archive fondée sur un stockage distribué

  • Je soutiens le travail d’Internet Archive, mais la préservation de l’histoire ne devrait pas dépendre d’un point de défaillance unique

• C’est très triste d’attaquer quelque chose d’altruiste comme une bibliothèque de l’Internet

  • Voir un tel niveau de décadence est vraiment démoralisant

• Je me demande qui cible Internet Archive, et pourquoi

  • On dirait que l’attaque n’est pas un simple acte de vandalisme

• Si Internet Archive a des fonds, embaucher une équipe de sécurité devrait figurer tout en haut de la liste des investissements prioritaires

• J’imagine un monde où les avocats feraient des dons à Internet Archive chaque fois qu’un snapshot de la Wayback Machine aide dans une affaire juridique

  • Cela permettrait d’embaucher rapidement une équipe de gestion de niveau mondial

• J’ai envoyé mon CV il y a presque un an, mais je n’ai reçu aucune réponse jusqu’à hier

  • Ils semblent actuellement traiter leur backlog pour chercher davantage de personnel

• Je me demande si c’est la même chose que le vecteur d’attaque par spoofing d’e-mail de Zendesk rendu public la semaine dernière

• Je me demande s’il existe un moyen de mettre IA en miroir en mode lecture seule pendant que les problèmes de sécurité sont en cours de résolution