Identifican miles de repositorios privados de GitHub en Copilot

Los investigadores de Lasso han identificado contenidos de más de 20.000 repositorios de GitHub privados dentro de Copilot, el 'chatbot' de Microsoft, incluido contenido propio que por error hicieron público durante un breve periodo de tiempo.

El contenido localizado no aparece con una búsqueda en la web, pero sí puede mostrarse en el asistente si alguien hace «la pregunta correcta a Copilot», ha apuntado el cofundador de Lasso, Ophir Dror, en declaraciones a TechCrunch que recoge Europa Press.

Esto se debe a que por breve que fuera la exposición de los datos, el buscador de Microsoft, Bing, los ha indexado y guardado en caché, lo que da pie a su entrada en Copilot y su aparición en los resultados de las peticiones, incluso tiempo después de que los repositorios se hayan eliminado o cerrado como privados de nuevo.

Y esos resultados pueden mostrar información tan sensible como claves de acceso, propiedad intelectual, tokens y otros datos corporativos.

Según la empresa de ciberseguridad, hay más de 16.000 empresas afectadas y entre ellas se encuentran Amazon Web Services, Google, IBM, PayPal, Tencent e incluso Microsoft, con quienes ya han contactado y aconsejado que revoquen o roten las claves comprometidas.