CircleCI، شرکتی که محصولات توسعه آن در میان مهندسان نرم افزار محبوبیت دارد، از کاربران خواست که اسرار خود را پس از رخنه ای در سیستم های شرکت به اشتراک بگذارند.
شرکت DevOps مستقر در سانفرانسیسکو در مشاوره ای که اواخر روز چهارشنبه منتشر شد گفت که در حال حاضر در حال بررسی این حادثه امنیتی است که آخرین مورد در سال های اخیر است.
“ما می‌خواستیم به شما اطلاع دهیم که در حال حاضر در حال بررسی یک حادثه امنیتی هستیم و تحقیقات ما در حال انجام است. “در حال حاضر، ما مطمئن هستیم که هیچ بازیگر غیرمجاز فعال در سیستم های ما وجود ندارد. با این حال، به دلیل احتیاط فراوان، ما می خواهیم اطمینان حاصل کنیم که همه مشتریان اقدامات پیشگیرانه خاصی را برای محافظت از داده های شما نیز انجام می دهند.
CircleCI، که ادعا می کند بیش از یک میلیون مهندس نرم افزار از فناوری خود استفاده می کنند، به کاربران توصیه می کند “همه اسرار” ذخیره شده در CircleCI را بچرخانند، از جمله آنهایی که در متغیرها یا زمینه های محیط پروژه ذخیره شده اند. رازها رمزهای عبور یا کلیدهای خصوصی هستند که برای اتصال و تأیید اعتبار سرورها با هم استفاده می شوند.
برای پروژه‌هایی که از توکن‌های API استفاده می‌کنند، CircleCI گفت که آن توکن‌ها را لغو کرده است و کاربران باید آن‌ها را جایگزین کنند.
CircleCI که در سال 2021 قیمت 100 میلیون دلاری سری F را با ارزش 1.7 میلیارد دلار اعلام کرد، اطلاعات بیشتری در مورد ماهیت حادثه به اشتراک نگذاشته و هنوز به سؤالات TechCrunch پاسخی نداده است.
با این حال، این شرکت همچنین به کاربران توصیه می کند که گزارش های داخلی خود را برای دسترسی غیرمجاز که بین 21 دسامبر 2022 و 4 ژانویه 2023 رخ داده است، بررسی کنند، که نشان می دهد نقض این شرکت حدود دو هفته زودتر آغاز شده است. این شرکت همچنین در 21 دسامبر اعلام کرد که به‌روزرسانی‌های قابلیت اطمینان این سرویس را برای حل مشکلات عمده سیستم منتشر کرده است.
در سال 2019، CircleCI پس از در معرض خطر قرار گرفتن یک فروشنده شخص ثالث، با نقض اطلاعات مواجه شد. این باعث شد هکرها داده‌های کاربر، از جمله نام‌های کاربری و آدرس‌های ایمیل، نام‌های کاربری و آدرس‌های ایمیل مرتبط با GitHub و Bitbucket، همراه با آدرس‌های IP کاربر را به خطر بیاندازند.
در ماه نوامبر، CircleCI گفت که همچنین شاهد تعداد فزاینده‌ای از تلاش‌های فیشینگ بوده است که در آن بازیگران غیرمجاز جعل هویت CircleCI برای دسترسی به مخازن کد کاربران در GitHub بودند.