DevOps服務CircleCI資料外洩事件調查，攻擊者未取得任何用戶機密資料

知名DevOps服務供應商Circleci在8月31日的時候，發現其合作廠商的帳號出現異常行為，並隨即終止了該帳戶的存取權限，現在經過調查發布了安全調查報告，Circleci表示，用戶的原始碼以及授權憑證都沒有外洩，因此用戶不需要更新密碼。

受影響的範圍，涵蓋了2019年6月30日和2019年8月31日之間，存取過Circleci平臺的所有用戶，Circleci已經主動以電子信件通知這些用戶，並提供必要採取的行動建議。

CircleCI在8月31日時候收到了來自第三方分析廠商的通知電子郵件，發現這個廠商的帳戶正進行異常活動，CircleCI立刻禁用了受到影響的帳戶，CircleCI工程團隊還偵測到系統增加了異常的資料庫，經確認該資料庫非CircleCI的資源後，便立即刪除了該資料庫。

CircleCI表示，根據他們的調查，部分用戶的使用者名稱、與GitHub和Bitbucket關聯的電子郵件信箱，以及用戶IP位置與用戶代理字串被洩漏，另外，組織名稱、儲存庫URL、儲存庫名稱、分支名稱以及儲存庫擁有者等訊息也可能被非法取用。

但CircleCI強調，在這個事件中，沒有任何的CircleCI用戶秘密、建置物件、建置日誌、原始碼以及生產資料被存取或是洩漏，所有用於CircleCI進行身份驗證的資料，像是身份驗證令牌和密碼雜湊都是安全的，也沒有任何信用卡以及金融訊息被盜走，而且由於CircleCI不收集社會安全碼以及信用卡資訊，因此用戶也沒有身份被盜用的風險。

除了加強安全防護之外，CircleCI正在與第三方數位取證公司合作，執行進一步的調查以及補救工作。CircleCI也仍持續與第三方供應商合作，找出切確的漏洞，雖然調查仍在進行，但他們認為目前攻擊者無法造成更多的威脅。

CircleCI提到，他們正在重新檢視第三方帳戶啟用雙因素驗證的政策，繼續推動單點登入的整合，並且呼籲使用者，應該檢查敏感商業資訊，此外，由於電子郵件遭到外洩，因此用戶也應該小心受到針對性的釣魚攻擊。