Years of JSONFormatter and CodeBeautify Leaks Expose Thousands of Passwords and API Keys

Fuite de Données Sensibles via des Outils en Ligne

Des milliers de mots de passe, de clés d’API et d’autres informations d’identification sensibles ont été exposés en raison de leur saisie dans des outils en ligne populaires tels que JSONFormatter et CodeBeautify. Ces plateformes, utilisées pour le formatage et la validation de code, stockent les données soumises dans des liens partageables et les rendent facilement accessibles par des acteurs malveillants via des analyseurs automatiques. Les organisations touchées couvrent des secteurs critiques comme le gouvernement, les télécommunications, les infrastructures nationales, la finance et la cybersécurité elle-même.

Points Clés :

• Des milliers de données d’identification (mots de passe, clés API, identifiants d’accès) ont été découvertes.
• Les données proviennent de sites web populaires de formatage de code (JSONFormatter, CodeBeautify).
• Ces données étaient stockées sur des pages “Recent Links” accessibles publiquement ou via des URL prévisibles.
• Des acteurs malveillants scannent activement ces plateformes pour exploiter les données exposées.
• Les deux plateformes ont temporairement désactivé la fonctionnalité de sauvegarde suite à cette découverte.

Vulnérabilités :

• Absence de mesures de sécurité adéquates pour protéger les données sensibles saisies par les utilisateurs.
• Stockage des données dans des URL partageables et prévisibles, permettant un accès non autorisé.

Recommandations :

• Ne jamais saisir d’informations d’identification sensibles (mots de passe, clés API, secrets) dans des outils en ligne publics ou non fiables. Utiliser des gestionnaires de secrets et des solutions de stockage sécurisées pour les informations sensibles.
• Les fournisseurs d’outils en ligne doivent implémenter des mesures de sécurité robustes pour la protection des données soumises par les utilisateurs, y compris des mécanismes de chiffrement et un contrôle d’accès strict.
• Les organisations doivent sensibiliser leurs employés aux risques liés à la saisie d’informations confidentielles dans des environnements en ligne non sécurisés.

Source