По информации портала ZDNet, из-за неверно сконфигурированного сервера Git на Bitbucket в открытый доступ оказались выложены данные внутренних Git-репозиториев компании Nissan North America.
IT-эксперт Тилли Коттманн (Tillie Kottmann) первым обнаружил, что автопроизводитель по какой-то причине оставил на своем Git-сервере активную учетку по умолчанию с логином и паролем admin/admin.
Коттманн пояснил, что полный дамп с утечкой всех Git-репозиториев от Nissan NA занимает 18.4 ГБ, в него входят следующие исходные коды и разработки компании:
- мобильные приложения Nissan NA;
- элементы и средства диагностики ASIST;
- компоненты дилерских бизнес-систем и дилерский портал;
- основной модуль мобильной библиотеки Nissan;
- диагностические утилиты и сервисы Nissan/Infiniti — NCAR / ICAR;
- инструменты для привлечения и удержания клиентов;
- маркетинговые инструменты, включая анализ продаж, исследование рынка, а также данные, полученные с их помощью;
- портал транспортной логистики;
- сервис подключения к автомобилю различных устройств — Nissan connect things;
- серверные бэкенды и внутренние инструменты компании.
Утекшие данные Nissan.Ссылку на торрент-файл с этой утечкой были опубликованы в Telegram-каналах и на хакерских форумах.
Коттманн успел бегло проанализировать данные и обнаружил, что в диагностической системе ASIST шифрование пароля выполняется алгоритмом RC4 с единственным ключом «Amalesh».
Nissan подтвердила ZDNet, что в курсе утечки. Сейчас компания занимается расследованием этого инцидента. Специалисты Nissan также отключили Git-сервер, чтобы минимизировать дальнейшие проблемы с раскрытием конфиденциальной информации и исходного кода Nissan. Компания не пояснила, сколько времени информация была легко доступна извне, а также что еще было скачено с серверов компании во время этого инцидента.
В мае прошлого года Тилли Коттманн смог скачать исходные коды компонентов «умного автомобиля», устанавливаемые в микроавтобусах Mercedez-Benz. Оказалось, что Daimler позволял любому пользователю зарегистрироваться на одном из своих локальных серверов GitLab, а затем можно было загружать Git-репозитории, содержащие исходный код Mercedes.
