В свободном доступе оказалось почти 45 гигабайт кода таких сервисов «Яндекса», как «Почта», «Такси», «Музыка» и другие.
В компании подтвердили утечку исходных кодов, но их содержимое отличается от текущей версии, которая используется в сервисах «Яндекса». «Мы не видим какой-либо угрозы для данных наших пользователей или работоспособности платформы», — заявили в пресс-службе. Источник РИА Новости, близкий к компании, утверждает, что старый исходный код выложил в интернет сотрудник «Яндекса», а не хакеры.
Это одна из крупнейших, если не самая крупная утечка, отмечает директор технического департамента RTM Group, эксперт в области информационной безопасности Федор Музалевский:
— В «Яндексе» говорят, что в открытый доступ попал старый код и это не представляет опасности для данных пользователей. Так ли это?
— Было бы странно, если бы они говорили что-нибудь другое. Действительную картину, я боюсь, мы не узнаем — это первое. Второе — вероятность взлома, несмотря даже на то, что исходный код был украден, невысока. Скажем так, она не в десять раз выше, чем была до кражи исходного кода. Почему? Потому что сами по себе защитные механизмы работают независимо от того, знает о них злоумышленник или нет. В «Яндексе» выстроена относительно неплохая система безопасности разработки, и сам факт наличия этого кода у злоумышленников совсем незначительно повышает вероятность взлома, потому что этот код изначально просматривается специалистами по безопасности, прежде чем пустить его в продуктив. Поэтому бежать, роняя тапки, смысла нет, но, если у кого-то не была включена двухфакторная идентификация, ее стоит подключить, это стоило бы сделать даже без утечки кода.
— Кому может быть интересен старый исходный код сервисов?
— Он должен быть интересен всем IT-компаниям. Несмотря на то что он старый, «Яндекс» — достаточно инновационная компания, там могут быть алгоритмы, какие-то расчетные вещи, которые представляют интеллектуальное право, определенную ценность. Соответственно, воспользоваться ими в других проектах конкуренты могут задешево, не тратя деньги на аналогичные разработки. В первую очередь он должен быть интересен именно конкурентам, а не злоумышленникам, которые потом попытаются что-то там взломать.
Исходные коды сервисов попали в открытый доступ в среду, 25 января. Компания проводит внутреннее расследование.