How we handled a recent phishing incident that targeted Dropbox

Dropbox · 2022 · 3. Quy mô lớn · Độ khó: Dễ — bài gốc

Bài công bố sự cố ngắn của chính Dropbox; ít chi tiết kỹ thuật về điều tra.

Chuyện gì đã xảy ra

Đầu 10/2022, nhiều nhân viên nhận email giả làm CircleCI (Dropbox dùng CircleCI cho một số deploy nội bộ, và đăng nhập CircleCI được bằng tài khoản GitHub). Một phần email bị cách ly tự động, phần còn lại vào hộp thư.
Trang đăng nhập giả lấy username, mật khẩu GitHub, rồi bảo nhân viên dùng khoá phần cứng sinh mã OTP và nhập vào trang giả. Kẻ tấn công vào được một GitHub organization và chép 130 repo: thư viện bên thứ ba có sửa, prototype nội bộ, công cụ và cấu hình của đội bảo mật; không có code của app lõi hay hạ tầng (quyền vào các repo đó hẹp và kiểm soát chặt hơn).
Trong code có credential, chủ yếu là API key của developer, cùng vài nghìn tên và email (nhân viên, khách, đầu mối bán hàng, nhà cung cấp); không chạm tới nội dung, mật khẩu hay thông tin thanh toán của user.

GitHub báo hành vi bất thường ngày 14/10; quyền truy cập bị tắt cùng ngày; xoay vòng mọi credential developer bị lộ; rà log không thấy bị lạm dụng; thuê chuyên gia điều tra bên ngoài; báo cơ quan quản lý.
Đẩy nhanh việc chuyển toàn bộ môi trường sang WebAuthn (khoá phần cứng hoặc sinh trắc), vốn đang làm dở.

MFA không ngang nhau: push, OTP, TOTP đều có thể bị lừa nhập vào trang giả; WebAuthn gắn với tên miền nên chống được phishing. Con người không thể phát hiện mọi email lừa đảo, nên biện pháp kỹ thuật mới là phòng tuyến chính.

Khoá phần cứng dùng ở chế độ OTP vẫn bị phishing; chỉ khi xác thực gắn tên miền (WebAuthn) mới chặn được.
Dịch vụ CI/CD bên thứ ba đăng nhập bằng tài khoản source control là một mồi nhử tốt cho kẻ tấn công.
Secret nằm trong repo biến một lần lộ code thành lần lộ credential; phân tầng quyền theo độ nhạy của repo giới hạn thiệt hại.