駭客鎖定Git用戶發動攻擊，清空儲存庫內容並加以勒索

上個周末有許多開發人員抱怨，他們存放在GitHub、GitLab及Bitbucket等Git代管平台上的儲存庫被清空，取而代之的是駭客的勒索訊息，要求受害者支付0.1個比特幣（約572美元）來換回資料，否則就會將這些內容公諸於世或轉作其它用途。

不管是GitHub、GitLab或Bitbucket都已證實此事，只是尚未確定受害規模，Bleeping Computer與ZDNet在GitHub的掃描結果發現，至少有392個儲存庫遭勒索。

在傳出災情之後，代管平台也展開了調查，所有業者都說駭客是利用合法的憑證登入服務，而非破解了各平台的身分認證機制。

一名開發人員Daniel Ruf在Stack Exchange平台上回應，這是因為開發人員在Git的配置文件中存放了URL、使用者名稱及密碼；GitLab亦說有強大的證據顯示，受害者都將密碼以明文形式存放在這些儲存庫的部署中。

換句話說，駭客只是在網路上掃描了Git的配置檔案，就能捕獲眾多以明文存放的密碼。

各大Git程式碼代管平台除了呼籲開發人員不要將憑證以明文存放在配置檔案中之外，也規勸用戶採用雙因素認證機制。此外，值得慶幸的是，這些資料似乎還有機會還原，GitLab即說，除非使用者沒有進行本地備份，或是GitLab上的檔案是唯一的，否則應能找回遺失的資料。

有類似遭遇的Git用戶應先向代管平台求助，亦有Git用戶列出尋回資料的作法。