軟體測試服務業者Codecov被駭，可能影響P&G、GoDaddy等近3萬家客戶

路透社報導，美國提供軟體開發測試服務的廠商Codecov今年初遭到駭客入侵，由於該公司擁有P&G、GoDaddy等2.9萬家客戶，美國警方已介入調查。

Codecov是一家SaaS業者，提供開發過程中程式碼覆蓋率（code coverage）的測試。該公司上周以電子郵件通知受影響的企業客戶相關安全事件。

Codecov於4月1日發現該公司的Bash Uploader script遭非授權存取及修改。駭客是利用該公司Docker映像檔建立過程中一項瑕疵，而取得修改Bash Uploader script必要的登入密碼。該公司進一步調查後研判，從今年1月31日起，其Bash Uploader script就發生定期的非授權修改行為，讓駭客得以將他們儲存在CI（continuous integration，CI）環境的資訊，匯出到駭客控制的外部伺服器。

這個Bash Uploader也用於其他三項工具。這家廠商警告，Bash Uploader script被存取，可能導致客戶經由CI runner傳送的憑證、金鑰、令符外洩，連帶危及企業用戶的服務、資料庫或應用程式碼，以及以這些Bash Uploader上傳到Codecov的git遠端資訊（即原始儲存庫的URL）。

該公司也強烈建議受影響的客戶立即重設其CI環境中，和Bash Uploader有關的登入密碼、重新產出令符或金鑰。

路透社報導，Codecov 2.9萬家客戶包括軟體商Atlassian、民生用品大廠P & G、全球最大網域服務管理商GoDaddy及華盛頓郵報等。受影響狀況尚不確定。

由於事件發生到發現已經過了三個月，也可能導致大量企業客戶資訊被竊，形成最新版本的SolarWinds事件。這家廠商表示，聯邦政府已經介入調查。

報導指出，4家被提及的客戶中，僅Atlassian表示沒有發現任何被入侵的證據，其他都未立即回應。而FBI及美國國土安全部也尚未回應。