GitHub等程式碼庫遭黑客入侵 僅索要566美元

黑客擦除資料後，留下一條勒索資訊：“如果想要恢復丟失的資料並避免資料進一步洩露，你須向我們支付0.1比特幣，併發送電子郵件，說明你的GitHub登入名和提供支付憑證。若你不確定我們是否持有你的資料，你可以聯絡我們，然後我們會向你提供證據。你的程式碼已被下載並備份到我們的 伺服器 上。如果十天之內我們沒有收到贖金，我們會公開你的程式碼或直接使用之。”

相似服務（如Bitbucket和GitLab等）的程式碼資源庫也遭遇了該攻擊。據不同的平臺陳稱，黑客的攻擊物件為要麼使用弱密碼或在其他獨立服務上不小心洩露了登入憑據的賬號。

GitHub在一份宣告中寫道：“目前，我們部分使用者的賬戶憑證似乎因未知的第三方風險而受到損害。我們正在努力與受影響的使用者合作，以保護並恢復他們的賬戶。”

Atlassian旗下擁有Bitbucket服務平臺。Atlassian的一名安全研究人員告訴Motherboard說，大約有1000名使用者可能受到攻擊。但目前尚不清楚是否有任何有價值的資料在這次攻擊中被偷盜。比如，很多在GitHub上的程式碼資源庫都是共享的。或者，受影響的資源庫也可能是不太常用的資源庫，或正在託管著規劃不完善的專案。

私有程式碼資源庫是否受到攻擊目前也尚不清楚。但實際上，似乎沒有任何程式碼被真正地刪除。在週五傳送的安全公告中，Bitbucket表示其計劃在未來24小時內逐步恢復受影響的程式碼資源庫。一名受害者也表示自己通過技術方法得以恢復被擦除的程式碼。

GitLab的安全主管凱西·王（Kathy Wang）說：“我們有充分證據表明，受影響賬戶的賬戶密碼以明文形式儲存在相關資源庫的部署中。我們強烈建議使用者使用密碼管理工具，以更安全的方式，儲存密碼。”

“我們仍在調查這個問題，但我們在部署的應用中的一個不安全的位置上，發現了一些受影響資源庫的硬編碼憑證的‘更新’指令碼，”凱西·王在郵件中補充說道。郵件中還指出，GitLab的使用者亦可以恢復他們的程式碼資源庫。

黑客在勒索資訊中提道，受害者僅有10天的時間來支付0.1比特幣（約合566美元），否則黑客將公開盜竊的程式碼或自己使用這些程式碼。但截至目前，黑客的比特幣地址依舊基本為空。

作為對此次黑客攻擊的迴應，GitHub、Bitbucket和GitLab均建議使用者為他們的賬戶啟用雙重驗證功能，以提高賬戶安全。