GitHub guardó contraseñas en texto sin formato de 100,000 usuarios de npm en archivos de registro; hackers podrían haber robado información confidencial fácilmente

En un informe de seguridad, GitHub confirmó que se almacenaron en texto sin formato las credenciales de un número no determinado de usuarios para el registro npm. Esta información es producto de la investigación ordenada en abril, cuando en un incidente no relacionado un grupo de hacking robó los datos de unos 100,000 usuarios del paquete JavaScript.

En su informe, el repositorio de código asegura que los archivos de registro no fueron comprometidos y que sus protocolos de seguridad habían sido mejorados incluso antes del ataque a npm. Aunque la compañía ha estado enviando alertas de seguridad desde entonces, esta semana comenzó a notificar directamente a cada usuario afectado por este almacenamiento inseguro.

No se mencionó la cantidad de usuarios afectados o por cuánto tiempo se mantuvo este almacenamiento inseguro. GitHub reconoce que el registro de credenciales va en contra de sus prácticas de seguridad, aunque enfatiza en que ni el repositorio ni npm experimentaron un compromiso o brecha de datos que hubiese expuesto la información en texto sin formato.

Como se menciona anteriormente, la investigación fue ordenada después de que GitHub identificó el robo de tokens OAuth emitidos a dos integradores: Heroku y Travis CI. Según el reporte, Heroku detectó algunos accesos no autorizados a sus repositorios privados a inicios de abril, mientras que Travis CI volvió a emitir todas las claves y tokens privados para la integración de GitHub a pesar de que no se habían detectado indicios de actividad maliciosa.

Los atacantes detrás de este incidente pudieron usar los tokens OAuth robados para acceder a la infraestructura npm de AWS, logrando comprometer una copia de seguridad con información de usuarios que databa de 2015.

De forma inusual y después de publicar este informe, los servicios de GitHub cayeron abruptamente, por lo que los usuarios no pudieron acceder a sus repositorios durante la mañana del lunes. El incidente fue corregido unas horas más tarde.

Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).

El cargo GitHub guardó contraseñas en texto sin formato de 100,000 usuarios de npm en archivos de registro; hackers podrían haber robado información confidencial fácilmente apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente