Codici trafugati: coinvolta anche banca BNL

I codici sorgente dei servizi online di alcuni grandi gruppi sono finiti in Rete, a disposizione di chiunque voglia dare un’occhiata. Si tratta di codici finora celati, dunque pericolosamente esposti ora a seguito di una fuga di dati. Il materiale è stato raccolto da Tillie Kottmann su GitLab, il quale avrebbe fatto una semplice opera di filtro per rimuovere i codici più esplicitamente pericolosi: i gruppi interessati sono stati avvisati soltanto in un secondo momento e la promessa è di rimuovere ogni codice che si intenda togliere dalla pubblica visione per questioni di sicurezza o di copyright.

Codici trafugati: i gruppi coinvolti

Microsoft, Lenovo, Motorola, AMD, Aukey, Mediatek, Qualcomm, Hisilicon (Huawei), Adobe, ma anche Disney e Nintendo: sarebbero almeno 50 i brand tirati in ballo. I codici sono tutti sul medesimo riferimento, divisi in differente cartelle e liberamente accessibili. Colpiti anche alcuni istituti bancari, tra i quali l’italiana BNL (oggi Gruppo BNP Paribas, dalla quale non si registra al momento alcuna risposta ufficiale in merito a quanto accaduto).

The source code related to over 50 companies has been leaked and posted on a public repository.

In some cases there are hard-coded credentials.

Here the targeted Banks:
– 1 Italian Bank: @BNL_PR @BNL_PR
– 2 Fintech in the US: @Fiserv, @BuckzyPayments#bank #databreach pic.twitter.com/PujSndzaDe

— Bank Security (@Bank_Security) July 26, 2020

La pericolosità del leak non è chiara poiché occorrerebbe analizzare tutti i codici e pesarne l’importanza caso per caso. La quantità di codice ammassato in questa repository, però, è di grande impatto potenziale e la vastità dei gruppi coinvolti lascia intendere come il pericolo possa essere effettivo. In alcuni casi sarebbero stati trovati codici di identificazione, il cui uso avrebbe potuto consentire attacchi di alto profilo: secondo la segnalazione di Bleeping Computer, solo parte dei pericoli è stata disinnescata, ma il perimetro di quanto accaduto non è ancora al momento del tutto chiaro. Né è chiara la fonte dei codici: l’ipotesi è di strumenti di sviluppo mal configurati e tali da poter consentire il libero accesso dall’esterno (il che avrebbe portato alla sottrazione del codice ed alla sua successiva pubblicazione).

Nell’elenco dei nomi colpiti figura peraltro anche “Covid apps”, non è chiaro a cosa faccia riferimento non essendo questo un riferimento univoco ad un brand o ad un singolo progetto.