O que aconteceu: FulcrumSec e a exposição de tokens do GitHub

Um grupo de extorsão cibernética que se autodenomina FulcrumSec está por trás de uma violação de dados na Novo Nordisk, a farmacêutica conhecida por produzir medicamentos amplamente utilizados para diabetes e perda de peso. Segundo relatos, os atacantes obtiveram seu ponto de apoio não por meio de um sofisticado exploit de dia zero, mas ao encontrar credenciais codificadas de forma fixa vinculadas a tokens de acesso do GitHub presentes na infraestrutura de TI de acesso público da Novo Nordisk.

Essa não é uma tática isolada do grupo. Segundo relatos, a FulcrumSec criou um padrão de varredura de repositórios públicos de código, scripts do lado do cliente e outras infraestruturas expostas em busca de segredos deixados para trás, como chaves de API, tokens de sessão e credenciais de acesso que desenvolvedores acidentalmente deixaram no lugar. Uma vez encontrado um token válido, ele pode funcionar como uma chave-mestra, concedendo aos atacantes um caminho para sistemas que nunca deveriam ser acessíveis do exterior.

A violação de dados da Novo Nordisk envolvendo tokens do GitHub ilustra um tema recorrente nas intrusões corporativas modernas: os atacantes cada vez menos precisam atravessar um firewall quando um trecho de código esquecido lhes entrega as chaves.

Por que credenciais codificadas de forma fixa continuam causando violações corporativas

Credenciais codificadas de forma fixa, ou seja, nomes de usuário, senhas, chaves de API ou tokens escritos diretamente no código-fonte em vez de armazenados em um gerenciador seguro de segredos, continuam sendo uma das causas mais persistentes e evitáveis de violações de dados corporativos. Desenvolvedores frequentemente incorporam esses valores durante testes ou ciclos de implantação rápida, com a intenção de removê-los depois. Em organizações de engenharia grandes e de ritmo acelerado, essa etapa de limpeza frequentemente é pulada ou esquecida.

Depois que esse código é enviado para um repositório público ou semipúblico, ou distribuído dentro de JavaScript do lado do cliente que o navegador de qualquer visitante pode baixar, a credencial fica efetivamente exposta a qualquer pessoa que saiba onde procurar. Grupos como a FulcrumSec construíram todo o seu modelo operacional em torno de encontrar exatamente esse tipo de descuido em escala, tratando a varredura de credenciais como uma parte repetível e quase automatizada de seu processo de reconhecimento.

Esse padrão se estende muito além do setor farmacêutico. Instituições financeiras, empresas de tecnologia e fabricantes já viram comprometimentos semelhantes impulsionados por credenciais. A cobertura da alegada violação do Deutsche Bank pelo grupo de ransomware Unsafe e do ataque de ransomware D1R à ARM que contornou a autenticação de dois fatores apontam para o mesmo problema subjacente: os atacantes estão achando mais fácil passar por uma porta deixada destrancada por um desenvolvedor do que forçá-la a abrir.

O que isso significa para os dados de saúde de pacientes e consumidores

Para uma empresa como a Novo Nordisk, os riscos de um vazamento de credenciais vão além do constrangimento corporativo típico. As farmacêuticas lidam com informações sensíveis ligadas à pesquisa clínica, à fabricação e, em muitos casos, a dados conectados a pacientes que dependem de seus medicamentos. Quando um grupo de extorsão obtém acesso interno por meio de um token vazado, a exposição pode se propagar para parceiros, prestadores de cuidados de saúde e, por fim, para as pessoas cujas informações de saúde passam por esses sistemas.

Essa violação se soma a uma lista crescente de incidentes que afetam o setor de saúde e farmacêutico. Reportagens anteriores detalharam como a Boston Scientific e a McKesson confirmaram violações que expuseram dados de pacientes, e como o grupo ShinyHunters atingiu a Abbott e a NAIC por meio de uma falha da Oracle, interrompendo no processo a pesquisa de medicamentos contra o câncer. Cada incidente usou um ponto de entrada técnico diferente, mas o resultado é o mesmo: dados sensíveis relacionados à saúde acabando nas mãos de pessoas sem qualquer reivindicação legítima sobre eles.

Consumidores que tomam medicamentos produzidos por grandes farmacêuticas geralmente têm visibilidade limitada, ou controle limitado, sobre como essas empresas protegem seus pipelines internos de desenvolvimento. Isso torna razoável presumir que qualquer organização que lide com dados de saúde é tão segura quanto seu segredo de desenvolvedor mais fraco, e agir de acordo quando notificada de uma violação.

Como organizações e indivíduos podem reduzir a exposição a vazamentos de credenciais

Para as organizações, a solução não é exótica. Equipes de segurança rotineiramente recomendam rotacionar credenciais em um cronograma regular, escanear repositórios de código e scripts do lado do cliente em busca de segredos expostos antes da implantação, e abandonar tokens codificados de forma fixa em favor de ferramentas centralizadas de gerenciamento de segredos que emitem credenciais de curta duração e revogáveis. Nada disso é um conselho novo, mas a recorrência dessas violações mostra como continua difícil aplicá-lo de forma consistente em grandes equipes de engenharia.

Para os indivíduos, a resposta prática a notícias como a violação de dados da Novo Nordisk envolvendo tokens do GitHub é direta. Fique atento a cartas de notificação de violação de qualquer farmacêutica, farmácia ou plano de saúde com o qual você interaja, e leve-as a sério mesmo que o aviso pareça rotineiro. Use senhas exclusivas para portais de saúde e habilite a autenticação multifator sempre que ela for oferecida. Monitore contas vinculadas a prescrições, seguros e cobranças em busca de atividade incomum, já que dados roubados nesses incidentes frequentemente reaparecem mais tarde em campanhas de phishing ou tentativas de roubo de identidade.

Principais conclusões

A violação da Novo Nordisk é um lembrete de que os atacantes nem sempre precisam de ferramentas avançadas para comprometer uma grande empresa; às vezes, uma única credencial esquecida é suficiente. Se você usa produtos da Novo Nordisk ou de outras empresas de saúde e farmacêuticas, fique de olho nas notificações oficiais de violação, revise as configurações de segurança de quaisquer contas relacionadas e trate e-mails inesperados que mencionem suas prescrições ou histórico médico com cautela extra. Dado o padrão observado em outras violações relacionadas à saúde, vale a pena verificar periodicamente como suas próprias contas relacionadas à saúde estão protegidas, em vez de esperar que uma carta de notificação o leve a agir.