Filtración de código fuente confidencial de Samsung

Una auditoría de seguridad informática ha revelado que una gran cantidad de información confidencial se ha expuesto al público de forma indebida en GitLab; acorde a los expertos, entre la información comprometida se encuentran  código fuente, credenciales de acceso y claves confidenciales para varios proyectos privados. Una de las implementaciones comprometidas ha sido usada por personal de Samsung para trabajar en el código de algunos proyectos de la compañía, como Samsung SmartThings.

Después de la auditoría de seguridad informática, se descubrieron decenas de proyectos de codificación interna de Samsung expuestos en GitLab debido a una configuración de seguridad errónea (no estaban protegidos con contraseña).

Esto quiere decir que cualquiera podía acceder a ellos e incluso descargar el código fuente de SmartThings, la plataforma para smarthome desarrollada por Samsung y los certificados privados para la implementación de SmartThings en iOS y Android.

Acorde a los expertos, muchas de las carpetas expuestas almacenaban registros y datos analíticos para los servicios de SmartThings y Bixby de Samsung,  al igual que los tokens privados de GitLab de varios empleados almacenados en texto simple.

La aplicación SmartThings se ha descargado e instalado sólo desde Google Play más de 100 millones de veces; la compañía ha actualizado la app regularmente, pero los especialistas afirman que un token de desarrollador de Samsung podría conceder acceso a los 130 proyectos de Samsung en GitLab.

Por su parte, la compañía ha revocado las credenciales de Amazon Web Services (AWS) luego de que concluyó la auditoría de seguridad informática. Samsung aún no da por cerrado el caso, lo que significa que tal vez aún no han completado su proceso de recuperación de incidentes de ciberseguridad.

Acorde a expertos del Instituto Internacional de Seguridad Cibernética (IICS), no son pocas las compañías que, por error, llegan a filtrar material confidencial, como código fuente o claves privadas, a través de plataformas para desarrolladores de software. Para muchos expertos, una parte fundamental de este problema son los servicios subcontratados, que pueden cometer múltiples omisiones de seguridad en su labor rutinaria.