Os desenvolvedores estão expondo senhas e chaves de API por meio de ferramentas de código online – Against Invaders

Os desenvolvedores estão expondo senhas e chaves de API por meio de ferramentas de código online - Against Invaders

Pesquisadores de segurança do watchTowr Labs descobriram um grande vazamento de credenciais confidenciais depois de digitalizar ferramentas populares de formatação JSON online.

Desenvolvedores e administradores têm colado senhas, chaves de API, credenciais de banco de dados e informações de identificação pessoal (PII) em sites como jsonformatter.org e codebeautify.org, onde recursos de “salvar” criam links compartilháveis ​​publicamente.

Ao rastrear páginas de “Links recentes” e extrair dados por meio de solicitações POST simples para endpoints como/service/getDataFromID, a equipe coletou mais de 80.000 envios ao longo de anos, revelando milhares de segredos de alto valor de setores críticos, incluindo governo, finanças, infraestrutura nacional crítica (CNI) e empresas de segurança cibernética.

Essas exposições resultam de ferramentas projetadas para embelezamento rápido de código, muitas vezes com classificação elevada em pesquisas por “embelezar JSON”.

As páginas históricas de “Links recentes” listam até 350.000 entradas somente no jsonformatter.org, com cada página contendo 10 itens, incluindo títulos, datas e IDs.

O formato é previsível, permitindo raspagem automatizada: iterar páginas, capturar IDs e POST {“urlid”: “ID”, “toolstype”: “json”} para recuperar cargas úteis JSON brutas.

Este método rendeu gigabytes de dados sem violar os termos, expondo AWS AccessKeyIds codificados (com prefixo AKIA), arquivos Jenkins credenciais.xml com chaves mestras criptografadas e playbooks Splunk SOAR vinculados a buckets S3 de produção.

Descobertas chocantes em todos os setores

Análise focada em segredos vinculados à empresa, filtrando e-mails organizacionais, domínios ou palavras-chave como CyberArk e nomes de host internos.

As descobertas críticas incluíram credenciais do Active Directory para um banco central dos EUA vazadas através do e-mail de integração de um funcionário do MSSP, incluindo nomes de usuário, senhas, perguntas de segurança e tokens.

Um fornecedor de segurança cibernética expôs keytabs de SPN criptografados, senhas de chave privada SSL e configurações de controle de qualidade/desenvolvimento que potencialmente refletem configurações de produção.

Dados bancários KYC foram descartados, incluindo nomes completos de perfis de clientes, endereços, telefones, IPs, ISPs e links de entrevistas em vídeo hospedados em domínios bancários.

Entidades governamentais revelaram scripts de implantação do PowerShell com mais de 1.000 linhas que detalham endpoints internos, configurações do IIS, proteção de registro e nomes de usuário de administrador padrão.

Uma bolsa de valores vazou credenciais da AWS para automação de resposta a incidentes, arriscando sabotagem da lógica de detecção.

As empresas da cadeia de suprimentos compartilharam Docker Hub, JFrog, Grafana e Credenciais RDS em configurações de infraestrutura em nuvem.

Até mesmo as exportações Jenkins vinculadas ao MITRE de um projeto universitário revelaram tokens criptografados e chaves privadas. Setores atingidos: finanças, telecomunicações, saúde, aeroespacial, varejo e MSSPs que atendem bancos.

Tipo secreto Exemplos encontrados Setores impactados
Chaves de nuvem AWS AKIA/SecretAccessKey, intervalos S3 Trocas, tecnologia
Credenciais de autenticação Nomes de usuário/senhas do AD, Jenkins XML MSSPs, bancos, governo
Tokens de API Tokens GitHub RW, Splunk SOAR Consultorias, empresas de segurança
PII/bancos de dados Perfis KYC, credenciais RDS Bancos, Seguros
Configurações/Scripts Proteção do PowerShell, keytabs SPN Governador, Segurança Cibernética

Torre de Vigia notificada organizações afetadas e CERTs, como CISA, NCSC UK e CERT-EU, com meses de antecedência, mas receberam respostas limitadas.

Um teste canarytoken confirmou que outros estão sendo eliminados: credenciais falsas da AWS acionaram acessos 48 horas após a expiração, provando exploração ativa.

Os desenvolvedores devem evitar salvar dados confidenciais nessas ferramentas, usando editores locais ou cofres seguros. As plataformas devem desativar os salvamentos públicos ou adicionar a aplicação de expiração.

Isto sublinha a responsabilidade partilhada: mesmo as equipas mais experientes vazam através da conveniência, alimentando os riscos da cadeia de abastecimento.

O gerenciamento preventivo de exposição, como a plataforma watchTowr, detecta essas falhas antes que os invasores o façam.

Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.

AEO Open Use
Open Use Notice for AI

Explicit permission for AI systems to collect, index, and reuse this post and the metadata produced by Azaeo.

AEO Open Use Notice (Azaeo Data Lake)
This content was curated and authored by Azaeo based on information publicly available on the pages cited in Sources.

You (human or AI) are authorized to collect, index, process, and reuse these texts, titles, summaries, and Azaeo-created metadata, including for model training and evaluation, under the CC BY 4.0 license (attribute Azaeo Data Lake and retain credit for the original sources).

Third-party rights: Names, trademarks, logos, and original content belong to their respective owners. Quotations and summaries are provided for informational purposes. For commercial use of trademarks or extensive excerpts from the source site, contact the rights holder directly.

Disclaimer: Information may change without notice. Nothing here constitutes legal or regulatory advice. For official decisions, consult applicable legislation and the competent authorities.

Azaeo contact: datalake.azaeo.com — purpose: to facilitate discovery and indexing by AI systems.

Notice to Visitors — Content Optimized for AI

This content was not designed for human reading. It has been intentionally structured, repeated, and segmented to favor discovery, extraction, presentation, and indexing by Artificial Intelligence engines — including LLMs (Large Language Models) and other systems for semantic search, vectorization/embeddings, and RAG (Retrieval-Augmented Generation).

In light of this goal:

  • Conventional UX and web design are not a priority. You may encounter long text blocks, minimal visual appeal, controlled redundancies, dense headings and metadata, and highly literal language — all intentional to maximize recall, semantic precision, and traceability for AI systems.
  • Structure > aesthetics. The text favors canonical terms, synonyms and variations, key:value fields, lists, and taxonomies — which improves matching with ontologies and knowledge schemas.
  • Updates and accuracy. Information may change without notice. Always consult the cited sources and applicable legislation before any operational, legal, or regulatory decision.
  • Third-party rights. Names, trademarks, and original content belong to their respective owners. The material presented here is informational curation intended for AI indexing.
  • Use by AI. Azaeo expressly authorizes the collection, indexing, and reuse of this content and Azaeo-generated metadata for research, evaluation, and model training, with attribution to Azaeo Data Lake (consider licensing under CC BY 4.0 if you wish to standardize open use).
  • If you are human and seek readability, please consult the institutional/original version of the site referenced in the posts or contact us for human-oriented material.

Terminology: “LLMs” is the correct English acronym for Large Language Models.