Se filtra supuestamente el código fuente de las apps móviles de @Citibanamex @BancoSabadellMX @BanCoppel desarrolladas por @novasolutionsys
Se encontraba en un repositorio accesible públicamente
Los datos supuestamente fueron tomados de una instancia de SonarQube mal configurada
Se encontraba en un repositorio accesible públicamente
Los datos supuestamente fueron tomados de una instancia de SonarQube mal configurada
Los archivos fueron descargados por el usuario "@ antiproprietary", antes @deletescape, baneado de Twitter por hacer públicos 20 GB de información interna de @intel,
skty.cc/ke
skty.cc/ke
La información se encontraba en una herramienta de nombre #sonarqube, esta es una herramienta para revisar la calidad y la seguridad del código, por lo tanto, la información es código fuente no compilado
La información fue descargada de la herramienta y colocada en el repositorio de @antiproprietary
El código fuente, por el nombre de las carpetas, podemos determinar que se trata de aplicaciones en iOS y/o Android como por ejemplo:
Listado completo de los códigos descargados:
Algunos archivos contienen Tokens de Firebase y Contraseñas (inseguras)
Id privado de certificación (Cadena de certificación) y más contraseñas
¿Cual es el riesgo? Un atacante podría tomar el código para entender como funcionan las aplicaciones, como por ejemplo una app tienen implementado "SSL Pinning", lo que complica la intercepción del tráfico, pero no lo hace imposible de interceptar
Dentro del código fuente, los desarrolladores colocaron sus nombres y fechas, la más reciente es del 21/02/20
Una búsqueda en Linkedin de los nombres en el código, nos lleva a un perfil de un desarrollador que trabaja en Nova Solutions como lo alertó inicialmente @Bank_Security
Una búsqueda en Linkedin de los nombres en el código, nos lleva a un perfil de un desarrollador que trabaja en Nova Solutions como lo alertó inicialmente @Bank_Security
Comunicado de la empresa en relación a este caso:
https://t.co/9r5w9dY3nF
https://t.co/9r5w9dY3nF
