Hơn 26.000 thông tin đăng nhập cloud và AI bị lộ trên Gitee
"A researcher discovered 26,400 valid cloud and AI service credentials exposed in public Gitee repositories. The credentials, primarily Alibaba Cloud AccessKeys, YouTube API keys, DeepSeek, Zhipu BigModel, and OpenAI keys, could allow unauthorized access and usage. Affected vendors are advised to revoke exposed keys and implement preventative measures like API restrictions and spend limits."
Việc lộ thông tin đăng nhập có thể dẫn đến truy cập trái phép vào các tài khoản cloud và AI, gây mất dữ liệu và chi phí phát sinh.
Các doanh nghiệp có thể phải đối mặt với gián đoạn dịch vụ, tổn thất tài chính và thiệt hại uy tín do lạm dụng tài nguyên cloud và AI.
Nghiên cứu viên phát hiện 26.400 thông tin đăng nhập dịch vụ cloud và AI hợp lệ bị lộ trên các kho lưu trữ công khai của Gitee. Phần lớn là Alibaba Cloud AccessKeys, cùng với các khóa API của YouTube, DeepSeek, Zhipu BigModel và OpenAI. Việc này có thể dẫn đến truy cập và sử dụng trái phép.
Các nhà cung cấp dịch vụ liên quan nên thu hồi các khóa bị lộ và triển khai các biện pháp phòng ngừa như giới hạn API và giới hạn chi tiêu. Đây là vấn đề đáng quan tâm với các doanh nghiệp Việt Nam đang sử dụng các dịch vụ này.
Nghiên cứu viên Ben Zimmermann đã quét 7,25 triệu kho lưu trữ công khai trên Gitee và báo cáo kết quả vào ngày 28 tháng 10. Ông sử dụng hai công cụ quét bí mật, TruffleHog và Kingfisher, để xác định các khóa hợp lệ. Truy cập https://thehackernews.com/2023/10/26400-valid-cloud-and-ai-credentials.html để biết thêm chi tiết.
Ngoài Alibaba Cloud, các khóa bị lộ còn bao gồm 3.805 khóa API YouTube, 3.170 khóa DeepSeek, 1.489 khóa Zhipu BigModel và 1.348 khóa OpenAI. Một trong số các khóa bị lộ là "quyền quản trị tổ chức hoạt động cho một nền tảng AI doanh nghiệp lớn".
Theo OpenAI, khóa bị xâm phạm cho phép người khác sử dụng quota của tài khoản mà không có sự đồng ý của chủ sở hữu, dẫn đến mất dữ liệu, chi phí phát sinh và gián đoạn truy cập API. Google cho biết khóa API YouTube có thể được sử dụng với mọi API chấp nhận khóa Google Cloud nếu không có giới hạn API.
Câu hỏi thường gặp
Có bao nhiêu thông tin đăng nhập bị lộ?
Tổng cộng 26.400 thông tin đăng nhập dịch vụ cloud và AI đã bị lộ trên các kho lưu trữ công khai của Gitee. Phần lớn là Alibaba Cloud AccessKeys.
Các dịch vụ nào bị ảnh hưởng?
Các dịch vụ bị ảnh hưởng bao gồm Alibaba Cloud, YouTube, DeepSeek, Zhipu BigModel và OpenAI, cùng với một số dịch vụ khác như GitHub, AWS và Google Cloud.
Nếu khóa API của tôi bị lộ thì sao?
Nếu khóa API của bạn bị lộ, bạn cần thu hồi nó ngay lập tức và tạo một khóa mới. Bạn cũng nên thiết lập giới hạn API và giới hạn chi tiêu để giảm thiểu rủi ro.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc lộ thông tin đăng nhập trên các kho lưu trữ công khai là một rủi ro bảo mật đáng kể. Các doanh nghiệp Việt Nam sử dụng các dịch vụ cloud và AI cần kiểm tra kỹ lưỡng các kho lưu trữ của họ và thu hồi ngay lập tức bất kỳ khóa nào có thể đã bị lộ. Điều đáng chú ý là việc quét các kho lưu trữ bằng các công cụ như TruffleHog và Kingfisher có thể giúp phát hiện các khóa bị lộ tiềm ẩn.