130 Dropbox-repositories gestolen bij phishing-aanval

Dropbox is het slachtoffer geworden van een phishing-aanval, waarbij de aanvaller 130 repositories van het bedrijf wist buit te maken. Daarin zaten onder meer API-sleutels die Dropbox-ontwikkelaars gebruiken. Er is echter geen code van de kernapps of infrastructuur van het bedrijf gestolen.

Eveline MeijerRedacteurMeer van deze auteur

De aanvallers wisten op 14 oktober binnen te dringen in het GitHub-account van Dropbox, schrijft het bedrijf op zijn website. Hiervoor werd een phishingaanval ingezet, gericht op meerdere Dropbox-werknemers. De aanvallers deden zich in e-mails voor als CircleCI, een continuous integration en deliveryplatform. De werknemers werden in die e-mail omgeleid naar een valse webpagina, waar ze gevraagd werden om hun GitHub-gebruikersnaam en wachtwoord in te vullen. Ook werden ze gevraagd om een hardware-verificatiesleutel te gebruiken voor een One Time Password (OTP).

De phishingpoging slaagde uiteindelijk, waarna de aanvaller toegang kreeg tot één van de GitHub-organisaties van Dropbox. De aanvaller kopieerde 130 van de code repositories, waar dus onder meer API-sleutels van vooral Dropbox-ontwikkelaars in zaten. Ook bevatten de repositories een paar duizend e-mailadressen en namen van Dropbox-werknemers, huidige en voormalige klanten, salesleiders en leveranciers. De repositories bevatten verder een aantal kopieën van libraries van derde partijen die iets aangepast zijn voor eigen gebruik, interne prototypes en tools en configuratiebestanden die het securityteam gebruikt.

Dropbox benadrukt dat er geen code van kernapps of infrastructuur van het bedrijf gestolen is. "De toegang tot die repositories is nog verder beperkt en streng gecontroleerd." Ook hadden de aanvallers geen toegang tot accounts, wachtwoorden of betaalinformatie van klanten.

Verdere inzet op WebAuthn

Dropbox ontdekte de aanval na een melding van GitHub over verdacht gedrag. Direct daarna werd de toegang van de aanvaller teruggetrokken en werden alle ontwikkelaarsgegevens aangepast. Ook zijn de logs bekeken, waarin geen bewijs werd gevonden van succesvol misbruik van de gegevens van ontwikkelaars. "Om hier zeker van te zijn hebben we externe forensische experts ingehuurd om onze bevindingen te verifiëren", aldus Dropbox. Ook zijn de politie en autoriteiten op de hoogte gebracht.

Om aanvallen in de toekomst te voorkomen, gaat Dropbox verder inzetten op WebAuthn en hardware-tokens of biometrische factoren.