Uma pesquisa da empresa de segurança cibernética WatchTowr revelou uma grave vulnerabilidade em sites de formatação de código, como JSONFormatter e CodeBeautify. Milhares de informações confidenciais, incluindo senhas, chaves de acesso e credenciais de administrador, foram expostas, mesmo após incidentes similares anteriores. A falha afeta sistemas críticos que deveriam ter sido corrigidos.
A análise de mais de 80.000 arquivos JSON coletados revelou uma vasta gama de dados sensíveis, desde credenciais diversas até informações de identificação pessoal (PII). A pesquisa destaca a facilidade com que algumas organizações compartilham dados confidenciais publicamente, negligenciando a segurança corporativa.
Entre os dados expostos, foram encontradas chaves de API, chaves privadas, credenciais de acesso à nuvem, registros SSH e até mesmo exportações do AWS Secrets Manager. A vulnerabilidade reside nas funções “Salvar” e “Links Recentes” dos sites de formatação, permitindo que invasores acessem o conteúdo colado pelos usuários através de URLs previsíveis e indexáveis.
A WatchTowr coletou mais de 5 GB de dados históricos, totalizando mais de 80.000 uploads de informações sensíveis. As organizações afetadas abrangem setores críticos como governo, finanças, saúde pública e telecomunicações. A empresa de segurança notificou as organizações e instituições de segurança envolvidas, mas a maioria não respondeu.
Entre os dados vazados, encontram-se configurações internas de governos expostas por meio de scripts PowerShell, credenciais criptografadas do Jenkins (ligadas à empresa MITRE) devido a uma exportação inadequada de um estudante e bases de dados Docker, JFrog e Grafana. Testes confirmaram que hackers já exploraram as plataformas e coletam os dados para ataques futuros.
Os pesquisadores da WatchTowr alertam para os riscos de colar credenciais em sites de formatação de código e enfatizam a necessidade de maior conscientização sobre segurança de dados. Eles argumentam que, em vez de investir em novas plataformas de IA, as organizações devem se concentrar em proteger melhor suas informações confidenciais.