Cyberattaque chez CircleCI : vous devez renouveler vos secrets !
Mauvaise nouvelle pour les utilisateurs de CircleCI : cette plateforme CI/CD populaire est victime d'une cyberattaque, et il pourrait y avoir une fuite de données ! Faisons le point.
CircleCI est une plateforme d'intégration continue et de livraison continue très appréciée puisqu'elle compte plus d'un million d'utilisateurs dans le monde.
Suite à la détection de cet incident de sécurité, les utilisateurs de la plateforme ont reçu une alerte par e-mail de la part de CircleCI. Un communiqué est également disponible sur le site officiel.
Une enquête est en cours actuellement. Voici la déclaration de Rob Zuber, le CTO de CircleCI : "À ce stade, nous sommes convaincus qu'aucun acteur non autorisé n'est actif dans nos systèmes. Toutefois, par excès de prudence, nous voulons nous assurer que tous les clients prennent certaines mesures préventives pour protéger également leurs données."
Donc, en attendant les conclusions de cette enquête, les utilisateurs sont invités à régénérer les secrets stockés sur la plateforme CircleCI, par précaution. C'est clairement précisé dans le communiqué : "Faites tourner immédiatement tous les secrets stockés dans CircleCI." - En ce qui concerne les projets qui utilisent des jetons d'API, CircleCI a pris la décision d'invalider les jetons donc ils doivent être régénéré par l'utilisateur.
Par ailleurs, CircleCI recommande à ses utilisateurs de vérifier leurs journaux internes, à la recherche d'un éventuel accès non autorisé entre le 21 décembre 2022 et le 4 janvier 2022 (ou jusqu'à ce que les secrets soient renouvelés). On comprend également que cette cyberattaque s'est déroulée le 21 décembre 2022, jour où CircleCI a mis en ligne une nouvelle version pour améliorer ses services.
Pour le moment, nous ne savons pas exactement quelles sont les conséquences de cette cyberattaque. Les pirates ont-ils pu récupérer une base de données ? Des documents confidentiels ? Est-ce qu'ils ont pu accéder à des comptes clients ? CircleCI n'a pas apporté de précision.
Nous devrions en savoir dans les prochains jours, quand l'enquête aura avancée.
