O The New York Times notificou um número não divulgado de colaboradores de que algumas de suas informações pessoais sensíveis foram roubadas e vazadas após seus repositórios no GitHub serem violados em janeiro de 2024.
Conforme o Times informou na semana passada, os atacantes usaram credenciais expostas para hackear os repositórios do GitHub do jornal.
Contudo, a violação não afetou os sistemas corporativos internos ou operações do jornal.
As informações roubadas durante o incidente incluem nomes e sobrenomes, bem como várias combinações dos números de telefone, endereços de e-mail, endereços de correspondência, nacionalidade, biografias, URLs de sites e usernames de mídias sociais dos indivíduos afetados.
Adicionalmente, os repositórios comprometidos também incluíam informações relevantes para tarefas, como certificações de mergulho e de drones ou acesso a equipamentos especializados.
"O The New York Times recentemente comunicou a alguns dos nossos colaboradores sobre um incidente que resultou na exposição de algumas das suas informações pessoais", disse um porta-voz do jornal.
"Enviamos esta nota para colaboradores visuais freelancers que trabalharam para o Times nos últimos anos. Não temos indicações de que a exposição dos dados se estendeu ao pessoal da redação em tempo integral ou outros colaboradores, continua o comunicado.
"Basicamente todo o código fonte pertencente à The New York Times Company, 270GB", disse o post no fórum 4chan.
Há cerca de 5 mil repositórios (dentre eles, menos de 30 estão adicionalmente criptografados, acredito eu), 3,6 milhões de arquivos no total, tar descomprimido.
Em torno de 6 de junho de 2024, uma postagem em outro site de terceiros tornou esses dados publicamente disponíveis, incluindo um arquivo que continha algumas das suas informações pessoais, o Times confirmou em cartas de notificação de violação de dados enviadas aos colaboradores afetados.
Os nomes das pastas indicam que uma grande variedade de informações foi roubada, incluindo documentação de TI, ferramentas de infraestrutura e código-fonte, supostamente incluindo o popular jogo Wordle.
Um arquivo 'readme' no arquivo afirma que o ator de ameaça usou um token do GitHub exposto para acessar os repositórios da empresa e roubar os dados.
O Times aconselha qualquer pessoa afetada por esta violação de dados a ter cautela com e-mails inesperados, chamadas telefônicas ou mensagens solicitando informações pessoais como usernames, senhas e data de nascimento, que poderiam ser usadas para acessar suas contas sem permissão.
O jornal também os alertou para garantir que suas contas pessoais, incluindo contas de e-mail e de mídias sociais, tenham senhas fortes e autenticação de dois fatores ativadas para bloquear tentativas de acesso não autorizado.
Publicidade
O mais completo curso de Pentest e Hacking existente no Brasil, ministrado por instrutores de referência no mercado. Oferece embasamento sólido em computação, redes, Linux e programação. Passe por todas as fases de um Pentest utilizando ambientes realísticos. Se prepare para o mercado através da certificação SYCP. Saiba mais...