Datenleck bei Hugging Face: Space Secrets betroffen

Diese Woche entdeckte das Team von Hugging Face einen unbefugten Zugriff auf ihre Spaces-Plattform, speziell auf Spaces Secrets. Es wird vermutet, dass ein Teil dieser Secrets unautorisiert eingesehen wurde. Spaces Secrets sind vertrauliche Informationen, die in der Hugging Face Spaces Plattform gespeichert werden. Diese können API-Schlüssel, Tokens, Zugangsdaten oder andere sensible Daten umfassen, die notwendig sind, um Anwendungen und Dienste innerhalb der Spaces-Plattform sicher zu betreiben und zu integrieren. Sie werden typischerweise verwendet, um den Zugriff auf bestimmte Funktionen oder Daten zu steuern und sicherzustellen, dass nur autorisierte Benutzer und Systeme Zugriff auf diese Ressourcen haben.

Als erste Maßnahme wurden mehrere HF-Tokens, die in diesen Secrets enthalten waren, widerrufen. Betroffene Nutzer wurden per E-Mail informiert. Es wird empfohlen, alle Schlüssel oder Tokens zu erneuern und auf fein granulierte Zugriffstokens umzusteigen, die nun Standard sind.

Hugging Face arbeitet mit externen Cybersicherheits-Experten zusammen, um den Vorfall zu untersuchen und die Sicherheitsrichtlinien zu überprüfen. In den letzten Tagen wurden bedeutende Verbesserungen an der Sicherheit der Spaces-Infrastruktur vorgenommen, darunter die Entfernung von Org-Tokens, die Implementierung eines Key Management Service (KMS) für Spaces Secrets, und die Verstärkung der Fähigkeit des Systems, geleakte Tokens zu identifizieren und ungültig zu machen.

Zusätzlich wurde der Vorfall den Strafverfolgungsbehörden und Datenschutzbehörden gemeldet. Hugging Face entschuldigt sich für die entstandenen Unannehmlichkeiten und nutzt diesen Vorfall, um die Sicherheit der gesamten Infrastruktur zu stärken.

Für Fragen steht das Team unter security@huggingface.co zur Verfügung.

Tags :

Related Posts

Datenleck beim Roten Kreuz Berlin: Passwörter und private Nachrichten veröffentlicht

Am 23. Februar 2024 entdeckte das Cybernews-Team ein Datenleck auf einer internen Website des DRK Berlin-Nordost. Eine Fehlkonfiguration ermöglichte den öffentlichen Zugriff auf sensible Daten, darunter Mitarbeiter-E-Mails, Klartext-Passwörter und interne Nachrichten. Einige dieser Kommunikationen enthielten kritische Informationen über Zugangsbefugnisse und Schlüsselstandorte.

Read More

Großes Datenleck bei Dell: Hacker bietet Daten zum Verkauf an

Dell steht im Mittelpunkt eines erheblichen Datenlecks, das durch den Bedrohungsakteur “Menelik” verursacht wurde. Die Daten, die angeblich von mehreren Nachrichtenplattformen bereits teilweise behandelt wurden, umfassen Informationen von etwa 49 Millionen Kunden, darunter sowohl individuelle Käufer als auch Unternehmen. Menelik behauptet, der alleinige Besitzer dieser Daten zu sein und plant, diese an genau eine Person zu verkaufen. Verschiedenen Quellen zu folge kam es durch eine verwundbare API zum Vorfall. Der Datensatz, der zurzeit vom Hacker angeboten wird, beinhaltet umfassende Informationen, darunter vollständige Namen von Personen oder Unternehmensnamen, Adressen, Städte, Provinzen, Postleitzahlen, eindeutige 7-stellige Servicenummern der Systeme, Versanddaten der Systeme (Bestelldaten), Garantiepläne, Dell Kundennummern und Dell Bestellnummern.

Read More

Cloud-Anbieter Snowflake im Fokus des Ticketmaster Datenlecks

In einer Reihe jüngster Cyberangriffe sind sensible Kundendaten von Ticketmaster und der internationalen Bank Santander gestohlen worden. Die Sicherheitsexperten von Hudson Rock vermuten, dass die Datenlecks auf eine Kompromittierung des Cloud-Datenanbieters Snowflake zurückzuführen sind. Snowflake selbst bestreitet jedoch jegliche Sicherheitsmängel auf ihrer Seite, hat aber im Zuge der Ermittlungen eine Anleitung veröffentlicht, mit der die Indicators of Compromise (IoC) festgestellt werden können. Dazu gehören Abfragen zur Identifizierung verdächtiger Aktivitäten und Anweisungen zur Deaktivierung verdächtiger Benutzerkonten. Snowflake empfiehlt zudem, Netzwerkrichtlinien zu implementieren und statische Anmeldeinformationen durch sicherere Methoden wie Key Pair-Authentifizierung oder OAuth zu ersetzen.

Read More