Un grupo delictivo que se autodenomina Crimson Collective ha afirmado haber robado casi 570 gigabytes de datos comprimidos provenientes de 28.000 repositorios de desarrollo internos, según un comunicado publicado en Telegram. La empresa afectada, Red Hat, confirmó que el incidente se debió a una vulneración de su instancia de GitLab, utilizada exclusivamente para sus servicios de consultoría.
Detalles del robo
Según la información publicada por los atacantes, los datos robados incluyen aproximadamente 800 Informes de Participación del Cliente (CER), documentos que pueden contener información confidencial sobre las redes y plataformas de los clientes. Estos informes suelen incluir detalles de infraestructura, datos de configuración y tokens de autenticación.
El grupo publicó en Telegram un directorio completo de los repositorios de GitLab presuntamente robados, así como una lista de CERs correspondientes a los años 2020 a 2025. Entre las organizaciones mencionadas se encuentran Bank of America, T-Mobile, AT&T, Fidelity, Kaiser, Mayo Clinic, Walmart, Costco, el Centro de Guerra Naval de Superficie de la Armada de los EE.UU., la Administración Federal de Aviación y la Cámara de Representantes.
Respuesta de Red Hat
Red Hat confirmó haber sufrido un incidente de seguridad relacionado con su negocio de consultoría, pero no verificó las afirmaciones del grupo sobre el robo de repositorios y CERs. En un comunicado, la empresa declaró que «tiene conocimiento de los informes sobre un incidente de seguridad relacionado con nuestro negocio de consultoría y hemos tomado las medidas necesarias para remediarlo». Además, destacó que «la seguridad e integridad de nuestros sistemas y de los datos que nos han sido confiados son nuestra máxima prioridad».
Red Hat no respondió a más preguntas sobre el incidente. Sin embargo, según la información proporcionada por los atacantes, la intrusión ocurrió hace aproximadamente dos semanas. Afirmaron haber encontrado tokens de autenticación, URL completas de bases de datos y otra información privada en el código de Red Hat y los CERs, que utilizaron para acceder a la infraestructura de los clientes.
Intento de extorsión
Los delincuentes declararon haber intentado contactar a Red Hat con una solicitud de extorsión, pero no recibieron respuesta salvo una respuesta predefinida que les indicaba enviar un informe de vulnerabilidad a su equipo de seguridad. Según ellos, el ticket creado se asignó repetidamente a otras personas, incluyendo al personal legal y de seguridad de Red Hat.
Actividades adicionales del grupo
El mismo grupo también se atribuyó la responsabilidad de desfigurar brevemente la página web de Nintendo la semana pasada para incluir información de contacto y enlaces a su canal de Telegram.
Respuesta de GitLab
GitLab informó que su plataforma y sus cuentas no se vieron comprometidas, enfatizando que el incidente solo afectó a la instancia autogestionada de GitLab Community Edition de Red Hat. La empresa destacó que los clientes son responsables de proteger estas instalaciones.