首先是 LastPass，现在是 Slack 和 CircleCI。黑客攻击仍在继续（而且可能会变得更糟）

放大

在过去的 24 小时内，全世界都知道影响聊天服务 Slack 和软件测试和交付公司 CircleCI 的严重漏洞，同时给这些公司使用不透明的术语：“安全问题”和“安全事件” .分别 - 你会认为这些事件是次要的，这是可以原谅的。

这些妥协——在 Slack 的案例中，员工凭证被盗，而在 CircleCI 中，它存储的所有客户机密可能被泄露——发生在密码管理器 LastPass 暴露其自身安全漏洞两周后：包含敏感数据的客户密码保险箱被盗.作为加密和纯文本。目前尚不清楚这三起违规事件是否相关，但肯定有可能。

这两个新漏洞中最令人担忧的是 CircleCI。周三晚上，该公司报告了一起“安全事件”，促使其建议客户泄露他们存储在服务中的“任何秘密”。该警报还通知客户它已使他们的项目 API 令牌失效，这一事件要求他们担心更换它们。

CircleCI 表示，超过 100 万开发人员使用它为 30,000 家组织提供服务，并执行近 100 万项日常任务。所有这些秘密（可能是登录凭据、访问令牌以及谁知道还有什么）的潜在暴露可能会给整个互联网的安全带来灾难。

缺乏透明度

CircleCI 对到底发生了什么保持沉默。他的评论从未使用过“违反”、“妥协”或“入侵”等字眼，但几乎可以肯定确实发生了这种情况。图表 A 是以下声明：“在这一点上，我们确信我们的系统中没有活跃的未经授权的参与者”，这表明网络入侵者早些时候是活跃的。图表 B：建议客户在 12 月 21 日至 1 月 4 日期间检查内部日志以了解是否存在未经授权的访问。

将这些陈述放在一起，可以毫不夸张地怀疑威胁行为者已经在 CircleCI 的系统中活跃了两周。收集行业中一些最敏感数据的数量难以想象，需要花费大量时间。

与此同时，Slack 的评论同样不透明。它的日期是 12 月 31 日，但互联网档案馆直到五天后的星期四才看到它。显然，Slack 并不急于让该活动广为人知。

与 CircleCI 的披露一样，Slack 警报也避免使用具体的语言，而是使用被动短语“已被盗用和滥用”，但没有说明具体情况。更糟糕的是：该公司在帖子中嵌入了 HTML 标签，以防止搜索引擎将警报编入索引。

从 Slack 员工那里获得令牌后，威胁行为者滥用这些令牌来访问公司的外部 GitHub 帐户。入侵者从那里下载私有代码存储库。该公告强调其客户没有受到影响，并且“威胁行为者没有访问 Slack 环境的其他区域，包括生产环境，也没有访问过任何其他 Slack 资源或客户数据”。

客户应在声明中加入大量盐水。还记得八月的 LastPass 咨询吗？他还使用了“安全事件”这个不透明的短语，并表示“没有访问客户数据”，只是为了在 2022 年最后一个大工作日揭示真实程度。如果 Slack 或 CircleCI 更新他们的评论，也就不足为奇了。披露对客户数据或其网络更敏感部分的进一步访问。

供应链黑客

也有可能部分或所有这些违规行为是相关的。互联网依赖于由内容分发网络、身份验证服务、软件开发工具制造商和其他公司组成的庞大生态系统。威胁演员经常...