《纽约时报》5000多个GitHub repo的源代码被泄露

《纽约时报》向 BleepingComputer 证实，其内部源代码和数据于 2024 年 1 月从该公司的 GitHub 仓库中被盗后在 4chan 留言板上泄露。

正如 VX-Underground 首次看到的那样，内部数据是周四由一位匿名用户泄露的，他发布了一个包含被盗数据的 273GB 压缩包的资源种子。

4chan 论坛的帖子写道：

“基本上所有源代码都属于纽约时报公司，270GB。大约有 5000 个 repos（我想其中只有不到 30 个是额外加密的），总共 360 万个文件，未压缩的 tar。”

虽然 BleepingComputer 没有下载存档，但该威胁行为者共享了一个文本文件，其中包含从该公司 GitHub 仓库中窃取的 6223 个文件夹的完整列表。

文件夹名称显示，被盗信息种类繁多，包括 IT 文档、基础架构工具和源代码，据称包括流行的 Wordle 游戏。

存档中的"README"文件指出，威胁者使用暴露的 GitHub 令牌访问了该公司的仓库并窃取了数据。

《纽约时报》在给 BleepingComputer 的一份声明中称，该漏洞发生在 2024 年 1 月，当时一个基于云的第三方代码平台的凭证被曝光。

随后的一封电子邮件证实这个代码平台就是 GitHub。

"昨天披露的相关事件发生在 2024 年 1 月，当时无意中提供了一个基于云的第三方代码平台的凭证。

这个问题很快被发现，我们当时采取了适当的应对措施。

目前没有迹象表明有人未经授权访问了时代公司的系统，也没有发现该事件对我们的运营造成影响。我们的安全措施包括持续监控异常活动。"

该公司表示，GitHub 账户被入侵并未影响其内部企业系统，也未对其运营造成影响。

《纽约时报》泄密事件是本周在 4chan 上发布的第二起泄密事件，第一起是迪士尼企鹅俱乐部游戏 415MB 内部文件被盗的泄密事件。

消息人士向 BleepingComputer 独家透露，企鹅俱乐部泄漏事件是迪士尼Confluence服务器重大漏洞事件的一部分，威胁分子在该服务器上窃取了 2.5 GB 的公司内部数据。

目前尚不清楚《纽约时报》和迪斯尼的泄密事件是否是同一人所为。

Reference

https://www.theregister.com/2024/06/07/4chan_nyt_code/

https://www.bleepingcomputer.com/news/security/new-york-times-source-code-stolen-using-exposed-github-token/

https://www.cnbeta.com.tw/articles/tech/1434090.htm

END