對於 Dropbox 及其用戶來說，這是個壞消息：駭客竊取了員工、目前和過去的客戶、潛在客戶和供應商的數千個姓名和電子郵件地址。所有這些資料都儲存在一個 GitHub 帳戶上，但該帳戶已被駭客攻擊。為此，駭客使用了網路釣魚技術，並針對幾名 Dropbox 員工進行了攻擊。他們冒充入職和交付平台 CircleCI，並將員工重新導向到一個虛假網站，提示他們輸入 GitHub 使用者名稱和密碼。員工還被要求使用他們的硬體身份驗證金鑰來傳輸一次性密碼 (OTP)。
駭客能夠存取 GitHub 並竊取 130 個程式碼儲存庫。 10 月 14 日，GitHub 向 Dropbox 通報可疑活動，Dropbox 收到了警報。經過調查，該程式碼包含身份訊息，包括姓名和電子郵件地址，以及開發人員使用的 API 金鑰。
然而，Dropbox 想讓我們放心，並已向我們的同事澄清：電腦發出蜂鳴聲:
「值得注意的是，被盜的儲存庫不包括我們的應用程式或核心基礎設施的程式碼。對這些儲存庫的存取更加受到限制和嚴格控制。 »
該公司補充說，駭客從未訪問過客戶帳戶、密碼或支付資訊。但電子郵件地址可用於新的網路釣魚活動。此外，Dropbox 也沒有具體說明被盜的 API 金鑰是否會被駭客利用。
請注意，GitHub 在 9 月就已經成為類似攻擊的受害者。這次攻擊還冒充了 CircleCI 平台。這要求使用者登入其 GitHub 帳戶以接受新的使用條款，以便繼續使用該服務。此外，駭客還使用 VPN 和代理服務來增加定位難度。
來源 ： 電腦發出蜂鳴聲
