JSONFormatter ו-CodeBeautify: לפי watchTowr, ארגונים הדביקו שם אלפי סיסמאות ומפתחות
ב-25 בנובמבר 2025 פרסמה watchTowr מחקר: תכנים ששמרו משתמשי JSONFormatter ו-CodeBeautify נחשפים בעמוד Recent Links, ובהם סודות של בנקים, ממשלות וחברות אבטחה.
TL;DR בקצרה
- watchTowr הורידה מעל 80 אלף הגשות מ-JSONFormatter ומ-CodeBeautify וגילתה בהן אלפי סיסמאות, מפתחות ואישורי גישה.
- הכפתור SAVE יוצר קישור שאפשר לשתף, ועמוד Recent Links מציג לכל גולש את התכנים שנשמרו לאחרונה.
- מפתחות AWS מזויפים שהחוקרים העלו נבדקו אחרי 48 שעות, ולכן watchTowr מסיקה שמישהו סורק את האתרים ומנצל אותם.
- המחקר לא מצביע על תגובה של האתרים. הכלל המעשי: סוד שהודבק באתר חיצוני צריך להיחשב דלוף.
ב-25 בנובמבר 2025 פרסמה watchTowr Labs מחקר על JSONFormatter ו-CodeBeautify, אתרים שמעצבים קוד JSON ומשמשים מפתחים ומנהלי מערכות. לפי המחקר, ארגונים מדביקים בהם סיסמאות ומפתחות, והתכנים השמורים גלויים לכל מי שמחפש. החוקרים מדברים על אלפי סודות מארגונים בתחומים רגישים.
איך JSONFormatter הפך לארכיון גלוי של סודות
באתרים יש כפתור SAVE. הוא יוצר קישור שאפשר לשתף, והקישור נשאר זמין זמן רב. בנוסף יש עמוד בשם Recent Links, שמציג לכל גולש את התכנים שנשמרו לאחרונה. הוא מראה כותרת, תיאור ותאריך.
watchTowr אספה את המזהים מהעמוד הזה ושלפה את התוכן של כל מזהה. כך הגיעו אליה מעל 80 אלף הגשות. הן כוללות כחמש שנים של התכנים ב-JSONFormatter ושנה של התכנים ב-CodeBeautify. הנתונים הגיעו למעל 5GB של JSON מתויג.
בין הסודות היו אישורי Active Directory, מפתחות למאגרי קוד ואישורים למסדי נתונים. החוקרים גילו גם מפתחות ענן ו-CI/CD, אישורי FTP, אישורי שערי תשלום ומפתחות פרטיים. עוד הופיעו הקלטות של סשנים ב-SSH ומידע אישי.
מי הדביק סודות ב-JSONFormatter, ולמה זה חמור
watchTowr מונה ארגונים מתשתיות לאומיות קריטיות, ממשלה, פיננסים, ביטוח ובנקאות. היא מונה גם טכנולוגיה, סייבר, קמעונאות, תעופה וחלל, תקשורת, בריאות, חינוך ותיירות.
המחקר מתאר כמה מקרים בלי להזכיר שמות. בנק חשף מידע מלא לזיהוי לקוחות (KYC), כולל קישורים להקלטות וידאו. ב-MSSP, חברה שמנהלת אבטחה ללקוחות, מייל קליטה של עובד חדש כלל אישורים של החברה ושל לקוח שלה, בנק אמריקאי. חברת אבטחה חשפה סיסמאות פנימיות ושמות של שרתים.
הנקודה החשובה היא הניצול בפועל. החוקרים העלו לאתר מפתחות AWS מזויפים, עם מנגנון שמתריע כשמישהו משתמש בהם. התוכן השמור נמחק אחרי 24 שעות. המפתחות נבדקו 48 שעות אחרי ההעלאה, כלומר 24 שעות אחרי המחיקה.
watchTowr מסיקה שמישהו סורק את האתרים ובודק את המפתחות שהוא מוצא. לדבריה, הפרסום לא מגדיל את הסיכון, כי מישהו כבר מנצל את המידע.
החוקרים פנו לארגונים שנפגעו חודשים לפני הפרסום. הם עבדו גם עם גופי CERT, ובהם NCSC הבריטי, CISA ו-CERT-EU. רק מעטים הגיבו מהר, והרוב לא ענו. המחקר לא מדווח על תגובה של JSONFormatter או של CodeBeautify.
מה המקרה הזה מלמד על כלים חיצוניים
כלל האצבע פשוט: מה שהודבק באתר חיצוני כבר לא בשליטתכם. זה נכון גם לכלי שנראה תמים, כמו מעצב JSON. חלק מהאתרים שומרים את מה שנשלח אליהם. חלק אפילו מפרסמים אותו.
הבעיה אינה ייחודית לשני האתרים האלה. עובד שמדביק קובצי הגדרות בכלי בדפדפן עושה את אותה פעולה, גם אם הכלי נראה אמין. לכן הגנה אמיתית מתחילה בהרגלים של הצוות ולא רק בכלי האבטחה.
מה זה אומר עבורכם
- אל תדביקו סודות באתרים: לא סיסמאות, לא מפתחות ענן, לא טוקנים ולא קובצי הגדרה. watchTowr מסכמת: אל תפרסמו אישורים בכלים אקראיים באינטרנט.
- בדקו אם כבר עשיתם זאת: שאלו את הצוות אם מישהו השתמש באתרים האלה עם נתוני ייצור. אם כן, החליפו את הסודות מיד. התייחסו אליהם כדלופים.
- עברו לכלים מקומיים: אפשר לעצב JSON בעורך הקוד או בשורת הפקודה. כך שום דבר לא יוצא מהמחשב.
- חפשו ביומני הרשת: אם אתם מנהלי IT, בדקו ביומני הפרוקסי גישה לשני הדומיינים בשנים האחרונות. כך תזהו מי עלול היה לחשוף סודות.
- קבעו כלל כתוב: הגדירו אילו כלים חיצוניים מותר להשתמש בהם עם נתוני עבודה. חסמו בשער האינטרנט כלים שאינם מאושרים.
מקורות והרחבה
- Stop Putting Your Passwords Into Random Websites (Yes, Seriously, You Are The Problem)watchTowr Labs
- Years of JSONFormatter and CodeBeautify Leaks Expose Thousands of Passwords and API KeysThe Hacker News
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
