เมื่อกลางเดือนเมษายนที่ผ่านมา GitHub แจ้งผู้ใช้ว่ามีโทเค็นรั่วไหลจำนวนหนึ่ง โดยพบว่าโทเค็นเหล่านี้ออกให้กับ Heroku และ Travis-CI ตอนนี้ทาง Heroku ก็ออกมายืนยันแล้วว่าฐานข้อมูลรั่วไหลจริง

Heroku ระบุว่าคนร้ายเข้าถึงฐานข้อมูลได้เมื่อวันที่ 7 เมษายนที่ผ่านมา และเริ่มใช้งานโทเค็นในวันที่ 8 เมษายน ตัว Heroku เองก็ถูกคนร้ายใช้โทเค็นขโมยซอร์สโค้ดออกไปจาก GitHub เมื่อวันที่ 9 เมษายน ทาง GitHub รู้ตัวในวันที่ 12 เมษายนเนื่องจากคนร้ายใช้โทเค็นของ npm

นอกจากฐานข้อมูลโทเค็นแล้ว คนร้ายยังได้ฐานข้อมูลรหัสผ่านที่แฮชพร้อม salt ของ Heroku ไป ทำให้ตอนนี้ Heroku ต้องแจ้งผู้ใช้ให้รีเซ็ตรหัสผ่านทั้งหมด

ที่มา - Heroku