# Casos reales de exposición de secretos

## Uber breach (2016)

En 2016, atacantes accedieron a una cuenta privada de GitHub usada por
Uber y encontraron claves de AWS embebidas en el código. Con esas
credenciales accedieron a un datastore en AWS y descargaron datos de
usuarios y conductores. El secreto expuesto fue una clave de acceso de
AWS almacenada en un repositorio privado. El impacto fue la filtración
de información personal, incluyendo nombres, correos, teléfonos y datos
de licencias de conducir de conductores en Estados Unidos. La Federal
Trade Commission documentó que el acceso se produjo usando una clave
publicada por un ingeniero en un sitio de código compartido (Federal
Trade Commission, 2018).

## Tesla Kubernetes leak (2018)

En 2018, investigadores de RedLock detectaron que una consola de
administración de Kubernetes de Tesla estaba expuesta sin protección por
contraseña. Dentro de un pod se encontraron credenciales para el entorno
AWS de Tesla, lo que permitió acceder a recursos cloud y ejecutar
software de minería de criptomonedas. El secreto expuesto fue credencial
de acceso a AWS disponible desde la infraestructura Kubernetes. El
impacto principal fue el uso no autorizado de capacidad de cómputo en la
nube y la exposición potencial de datos internos, como telemetría
almacenada en S3. Ars Technica reportó el caso con base en los hallazgos
de RedLock (Goodin, 2018).

## Codecov breach (2021)

En 2021, un atacante modificó el Bash Uploader de Codecov para exfiltrar
información desde entornos de integración continua donde se ejecutaba el
script. La modificación enviaba URLs de repositorios Git y variables de
entorno a un servidor controlado por el atacante. Los secretos expuestos
fueron variables de entorno de CI/CD, tokens, claves y credenciales
usadas por proyectos que integraban Codecov en sus pipelines. El impacto
fue el posible compromiso de credenciales de clientes y el acceso no
autorizado a sistemas conectados a esas variables. Codecov publicó un
análisis del incidente y una actualización de seguridad que describen la
modificación maliciosa del uploader y sus efectos sobre variables de
entorno (Codecov, 2021a, 2021b).

## CircleCI breach (2023)

En 2023, CircleCI informó que un atacante comprometió el equipo de un
ingeniero mediante malware y robó una sesión SSO válida protegida por
2FA. Con esa sesión, el atacante accedió a sistemas de producción y
exfiltró datos de clientes. Los secretos expuestos incluyeron variables
de entorno, tokens, claves, OAuth tokens, API tokens y llaves SSH
almacenadas en CircleCI. El impacto fue el riesgo de acceso no
autorizado a sistemas de terceros conectados a esos secretos, por lo que
CircleCI pidió rotar todos los secretos almacenados en la plataforma. El
reporte oficial del incidente describe el alcance, la exfiltración de
claves y las medidas de respuesta (CircleCI, 2023).

## Referencias

CircleCI. (2023, January 12). *CircleCI incident report for January 4,
2023 security incident*.
https://circleci.com/blog/jan-4-2023-incident-report/

Codecov. (2021a). *Post-mortem / root cause analysis (April 2021)*.
https://about.codecov.io/apr-2021-post-mortem/

Codecov. (2021b, April 15). *Bash uploader security update*.
https://about.codecov.io/security-update/

Federal Trade Commission. (2018, April 12). *Uber agrees to expanded
settlement with FTC related to privacy, security claims*.
https://www.ftc.gov/news-events/news/press-releases/2018/04/uber-agrees-expanded-settlement-ftc-related-privacy-security-claims

Goodin, D. (2018, February 20). *Tesla cloud resources are hacked to run
cryptocurrency-mining malware*. Ars Technica.
https://arstechnica.com/information-technology/2018/02/tesla-cloud-resources-are-hacked-to-run-cryptocurrency-mining-malware/