(图片来自Jakub Porzycki/NurPhoto via Getty Images)
上个月，一名黑客成功入侵了云存储提供商Dropbox但没有用户信息被盗。
Dropbox在周二披露了这次入侵，并将其来源追溯到网络钓鱼10月初，他们向公司员工发送了电子邮件。该公司在10月14日得知黑客入侵，并关闭了该黑客的访问。
该公司表示:“这个威胁行为人从未访问过任何人的Dropbox账户内容、密码或支付信息。说(在一个新窗口中打开)．
相反，这次黑客入侵了Dropbox的GitHub账户，该账户是软件开发人员工作和存储计算机编码项目的地方。结果，黑客能够访问并复制Dropbox的130个代码库，尽管被窃取的数据都不属于Dropbox主系统云存储服务．
“这些存储库包括我们自己的第三方库副本，经过轻微修改，以供Dropbox使用，内部原型，以及安全团队使用的一些工具和配置文件。重要的是，它们不包括我们核心应用程序或基础设施的代码。对这些存储库的访问甚至受到更严格的限制和控制，”该公司表示。
因此，Dropbox表示，此次泄露对其客户构成的风险应该是“最小的”。“我们还检查了我们的日志，没有发现成功滥用的证据，”该公司补充说。“当然，我们聘请了外部法医专家来验证我们的发现，并向相关监管机构和执法部门报告了此事。”
尽管如此，这次泄露仍然影响了Dropbox的许多员工和一些过去的企业客户。“到目前为止，我们的调查发现，这个威胁者访问的代码包含了Dropbox开发者使用的一些凭证——主要是API密钥。代码和数据也包括在内Dropbox的员工、现在和过去的客户、销售主管和供应商的几千个姓名和电子邮件地址，”这家云存储提供商表示。
这名黑客假装来自旧金山一家名为CirceCI的软件自动化引擎提供商，通过发送钓鱼邮件，窃取了对GitHub存储库的访问权限。9月，GitHub本身警告(在一个新窗口中打开)它的用户担心假冒CircleCI的钓鱼邮件也能够获取用户密码和多因素被骗受害者的认证码。
Dropbox表示，上个月它也受到了类似的网络钓鱼信息的攻击。“虽然我们的系统自动隔离了其中一些电子邮件，但也有一些进入了dropbox用户的收件箱。这些看似合法的电子邮件引导员工访问一个虚假的CircleCI登录页面，输入他们的GitHub用户名和密码，然后使用他们的硬件认证密钥将一次性密码(OTP)传递到恶意网站。”
作为回应，Dropbox表示，它将逐步停止在多因素认证登录系统中使用一次性密码，并采用新密码WebAuthn代替。该公司补充说:“很快，我们的整个环境将通过硬件令牌或生物特征因素的网络认证来保护。”这意味着Dropbox的登录系统可能需要使用硬件安全密钥，可有效挫败网络钓鱼攻击。
