Yandex est un moteur de recherche et un portail Web
Il y a quelques jours, des informations ont été divulguées concernant la fuite de près de 45 Go de fichiers de code source du géant technologique russe « Yandex » , prétendument volés par un ancien employé, qui ont révélé les fondements de nombreuses applications et services du moteur de recherche qui ne sont presque jamais rendus publics.
Les "sources git de Yandex" ont été publiées sous forme de fichier torrent le 25 janvier et montrent des fichiers apparemment pris en juillet 2022 et remontant à février 2022. L'ingénieur logiciel Arseniy Shestakov dit avoir vérifié auprès des employés actuels de Yandex que certains fichiers "contiennent certainement du code de les services de l'entreprise. »
L'entreprise technologique russe Yandex a présenté ses excuses après la découverte d'insultes racistes dans son code source divulgué, affirmant qu'il n'y avait pas eu de fuite de données. Plusieurs références à des insultes racistes, dont l'insulte raciale « nègre », ont été trouvées dans le code source de l'entreprise la semaine dernière.
L'ingénieur logiciel Arseniy Shestakov a analysé le référentiel Yandex Git divulgué et a déclaré qu'il contient des données techniques et du code pour les produits suivants :
- Moteur de recherche et bot d'indexation Yandex
- Cartes Yandex
- Alice (assistante IA)
- Yandex Taxi
- Yandex Direct (service publicitaire)
- Courrier Yandex
- Disque Yandex (service de stockage en nuage)
- Marché Yandex
- Yandex Travel (plateforme de réservation de voyages)
- Yandex360 (service d'espace de travail)
- Nuage Yandex
- Yandex Pay (service de traitement des paiements)
- Yandex Metrika (analyse Web).
Shestakov a également partagé une liste de répertoires des fichiers divulgués sur GitHub pour ceux qui veulent voir quel code source a été volé.
"Il existe au moins quelques clés API, mais elles ne sont probablement utilisées que pour tester l'implémentation", a déclaré Shestakov à propos des données divulguées.
Dans un communiqué , Yandex a déclaré que ses systèmes n'avaient pas été piratés et qu'un ancien employé avait divulgué le dépôt de code source.
Yandex n'a pas été piraté. Notre service de sécurité a trouvé des extraits de code dans un référentiel interne du domaine public, mais le contenu diffère de la version actuelle du référentiel utilisé dans les services Yandex.
Un dépôt est un outil pour stocker et travailler avec du code. Le code est ainsi utilisé en interne par la plupart des entreprises.
Les référentiels sont nécessaires pour travailler avec du code et ne sont pas destinés à stocker les données personnelles des utilisateurs. Nous menons une enquête interne sur les raisons de la diffusion publique d'extraits de code source, mais nous ne voyons aucune menace pour les données des utilisateurs ou les performances de la plate-forme.
Les archives remontent notamment à février 2022, lorsque la Russie a lancé une invasion à grande échelle de l'Ukraine. Un ancien dirigeant de Yandex a qualifié la fuite de "politique", notant que l'ancien employé n'avait pas tenté de vendre le code aux concurrents de Yandex. Le code antispam n'a pas non plus été divulgué.
Bien qu'il soit difficile de déterminer si la divulgation du code source de Yandex a des conséquences structurelles ou de sécurité, la fuite de 1 922 facteurs de classement dans l'algorithme de recherche de Yandex fait assurément sensation.
La société de technologie russe Yandex a présenté ses excuses après la découverte d'insultes raciales dans le code source divulgué. Plusieurs références à des insultes raciales ont été trouvées dans le code source de l'entreprise. Un chercheur a révélé pour la première fois l'utilisation d'une terminologie offensante dans une série de messages sur Twitter le 26 janvier, suscitant de vives critiques.
Dans un communiqué, Yandex a déclaré qu'une enquête initiale a montré que le code divulgué "semble être d'anciens extraits différents de la version actuelle dans le référentiel de l'entreprise". La société a ajouté que le code divulgué "n'aurait jamais affecté aucun des services de la société".
"Nous regrettons profondément que ces mots soient apparus dans nos codes internes", a déclaré Yandex. "C'est inacceptable et une violation flagrante de notre éthique d'entreprise." "Nous menons actuellement un examen interne pour mieux comprendre comment cela s'est produit, et nous prendrons les mesures appropriées, notamment pour nous assurer que cela ne se reproduise plus."
Des insultes raciales ont été pulvérisées sur le Yandex qui a fui. Ils ont été utilisés dans les noms de fonctions et de variables, les messages imprimés et d'autres emplacements dans les fichiers de configuration.
Les développeurs utilisent souvent des termes ou des noms spécifiques pour aider les autres développeurs à comprendre quelle fonction ou quelle action exécute une certaine ligne de code.
Il convient de noter que ce n'est pas la première fois que Yandex est confrontée à un tel problème. En 2015, le code source de son moteur de recherche a disparu lorsqu'un ancien employé a tenté de le vendre au marché noir pour 28 000 $ afin de financer sa propre start-up. Le nombre étonnamment faible de copies du code source du produit principal de Yandex laissait supposer qu'il ignorait sa véritable valeur. Cet employé a écopé d'une peine de deux ans avec sursis, et le code n'a jamais été rendu public.
Enfin, si vous souhaitez en savoir plus, vous trouverez les détails en suivant ce lien.