Novo Nordisk Sızması İnkişaf Xətti Risklərini Üzə Çıxardı

Nə Baş Verdi

18 İyun 2026 - Kiber təhlükəsizlik dünyası yenə böyük bir adın sızma xəbəri ilə çalxalanır. Bu dəfə səhnədə, diabet və piylənmə müalicəsində istifadə olunan dərmanları ilə tanınan Danimarka əczaçılıq nəhəngi Novo Nordisk var. Ancaq bu sızma, alışdığımız fidyə proqramı hücumu və ya milyonlarla istifadəçinin şəxsi məlumatlarının oğurlandığı bir məlumat bazası pozuntusu deyil. Bu, daha dərinlərdən, müasir proqram təminatı inkişafının tam mərkəzindən gələn bir yaradır: sızdırılmış bir GitHub tokeni.

Hadisə ilk baxışda sadə bir səhv kimi görünə bilər. Bir proqramçıya və ya avtomatik bir sistemə aid olan, kod anbarlarına giriş imkanı verən rəqəmsal bir açar olan GitHub tokeninin bir şəkildə ifşa olması. Lakin bu sadə səhv, Novo Nordiskin proqram təminatı inkişafı boru xətti olaraq bilinən, son dərəcə həssas və kritik bir sistemin qapılarını açdı. Bu xəta, şirkətin rəqəmsal məhsullarını necə istehsal etdiyini, test etdiyini və payladığını göstərən bütün proseslərin potensial olaraq ifşa olması deməkdir. Bu, bir avtomobil zavodunun təkcə hazır avtomobillərinin deyil, bütün montaj xəttinin, robotların proqramlarının və istehsal sirlərinin oğurlanmasına bənzəyir.

Bu hadisə, kiber təhlükəsizlikdə tez-tez müzakirə olunan, lakin idarə heyətlərində kifayət qədər anlaşılmayan bir həqiqəti də üzümüzə bir şillə kimi vurur. Təhlükəsizlik, yalnız bahalı alətlər alıb qurmaqla bitmir. Əsas məsələ, bu alətləri kimin, nə vaxt və niyə istifadə etdiyini idarə etməkdən, yəni kimlikdən keçir.

Ələ Keçirilən Məlumatlar

Novo Nordisk, sızmadan hansı məlumatların tam olaraq təsirləndiyinə dair hələ detallı bir açıqlama verməyib. Bu cür hadisələrdə şirkətlər adətən daxili araşdırma tamamlanana qədər səssiz qalmağı üstün tuturlar. Ancaq sızdırılmış bir GitHub tokeninin nələrə səbəb ola biləcəyini təxmin etmək çətin deyil. Bu, domino daşlarının birincisinin aşması kimi bir təsir yarada bilər.

Potensial olaraq risk altında olanlar bunlar ola bilər:

• Mənbə Kodları: Şirkətin proqram təminatlarının, tətbiqlərinin və daxili sistemlərinin planları. Bu, şirkətin intellektual mülkiyyətinin ən dəyərli hissələrindən biridir. Rəqiblər və ya pis niyyətli aktorlar üçün bu kodlar sanki bir xəzinə xəritəsi kimidir.
• İnfrastruktur Konfiqurasiyaları: Serverlərin, məlumat bazalarının və bulud xidmətlərinin necə qurulduğunu və idarə edildiyini göstərən fayllar. Bu məlumatlara sahib bir təcavüzkar, sistemdəki digər zəif nöqtələri asanlıqla tapa bilər.
• Digər Daxili Sirlər: Proqramçılar bəzən vaxt qazanmaq üçün kodların içinə başqa sistemlərə giriş imkanı verən API açarları, şifrələr və ya sertifikatlar kimi başqa "sirləri" də əlavə edə bilərlər. Sızan ilk token, bir açarın başqa bir seyfin açarını ortaya çıxarması kimi zəncirvari reaksiyaya səbəb ola bilər.

Hazırda müştəri və ya xəstə məlumatlarının bu sızmadan birbaşa təsirlənib-təsirlənmədiyi məlum deyil. Ancaq proqram təminatı təchizat zəncirinə yönəlmiş bir hücum ehtimalı hər zaman mövcuddur. Əgər təcavüzkarlar şirkətin kod bazasına giriş əldə ediblərsə, gələcək məhsul yeniləmələrinə zərərli kod əlavə etmə riski nəzəri olaraq mövcuddur. Şirkətin bu mövzuda araşdırması davam edir.

Hücum Necə Baş Verdi

Bu hücumun mərkəzində mürəkkəb bir exploit və ya sıfır gün boşluğu yoxdur. Mərkəzdə, müasir proqram təminatı inkişafının təməl daşlarından biri olan bir "sirr", yəni GitHub tokeni var. Hücumun texniki təfərrüatları hələ ictimaiyyətlə paylaşılmayıb, lakin hadisənin mahiyyəti olduqca aydındır.

Bir GitHub tokeni, bir istifadəçi və ya bir avtomatlaşdırma aləti (CI/CD boru xətti kimi) adından GitHub-dakı kod anbarlarına giriş icazəsi verən bir simvol sətiridir. Şifrə kimi işləyir, ancaq adətən daha çox səlahiyyətə malikdir və maşınlar arası əlaqə üçün nəzərdə tutulub. Bu token bir şəkildə, məsələn, hamıya açıq bir kod anbarına səhvən yüklənərək və ya bir proqramçının kompüterindən oğurlanaraq ifşa olub.

Təcavüzkarlar bu tokeni ələ keçirdikdə, artıq bir sistemi "hackləmək" məcburiyyətində qalmadılar. Sistemə, tokenin sahibi olan qanuni bir istifadəçi və ya servis kimi daxil oldular. Məhz bu nöqtə, hadisəni bir "alət problemi" olmaqdan çıxarıb bir "kimlik problemi" halına gətirir.

Əksər təşkilatlar sirr idarəetməsini "HashiCorp Vault və ya AWS Secrets Manager kimi bir alət alaq, sirlərimizi ora qoyaq, təhlükəsizik" şəklində bir yanaşma ilə həll edirlər. Halbuki əsl problem, o seyfə kimin girə biləcəyidir. Əgər seyfin açarını (bu vəziyyətdə GitHub tokeni) ortada qoysanız, seyfin nə qədər möhkəm olduğunun bir əhəmiyyəti qalmaz. Novo Nordisk hadisəsi, sirlərin özləri qədər, bu sirlərə daxil olan insan və maşın kimliklərinin də nə qədər kritik olduğunu göstərir. Bir token, yalnız bir şifrə deyil; o bir kimlikdir. Və o kimlik oğurlandıqda, təcavüzkar sizin yerinizi alır.

Kimlər Təsirləndi

Bu sızmanın təsirləri dalğa-dalğa yayılır.

• Novo Nordisk: Şirkətin özü ən böyük zərərçəkəndir. İntellektual mülkiyyət oğurluğu, nüfuz itkisi, tənzimləyici orqanların yoxlamaları və mümkün pul cəzaları kimi ciddi nəticələrlə üzləşə bilər. Proqram təminatı inkişafı proseslərini təhlükəsiz etmək üçün edəcəkləri təcili investisiyalar da əlavədir.
• İnvestorlar və Tərəfdaşlar: Şirkətin təhlükəsizlik mövqeyinə dair narahatlıqlar, səhm qiymətlərində dalğalanmalara və iş ortaqlarının etimadının sarsılmasına səbəb ola bilər.
• Proqramçı İcması: Bu hadisə, bütün dünyadakı proqram təminatı inkişaf etdiriciləri üçün bir xəbərdarlıqdır. Ən yaxşı niyyətlə yazılan bir kod sətrinə səhvən əlavə edilən bir sirrin nə qədər böyük fəlakətlərə yol aça biləcəyini göstərən acı bir dərsdir.
• Potensial Olaraq Xəstələr və Müştərilər: Əgər sızma, məhsullara zərərli kod əlavə edilməsinə səbəb olan bir proqram təminatı təchizat zənciri hücumuna çevrilərsə, nəticədə Novo Nordisk məhsullarını istifadə edən şəxslər də risk altına girə bilər. Bu, hazırda yalnız bir ehtimal olsa da, bu cür sızmaların ən qorxulu ssenarisidir.

Nə Edə Bilərsiniz

Bu hadisədən həm fərdi proqramçılar, həm də şirkətlər dərs çıxarmalıdır. Bəs nə edə bilərsiniz?

Əgər bir proqramçısınızsa:

• Əsla Sirləri Koda Daxil Etməyin: Bu birinci və ən vacib qaydadır. Məlumat bazası şifrələri, API açarları, tokenlər... Heç birinin kodun içində yeri yoxdur. Bunları kodunuzdan ayrı saxlayın.
• Mühit Dəyişənlərindən (Environment Variables) istifadə edin: Sirlərinizi koddan ayırmağın ən fundamental yolu, onları tətbiqin işlədiyi mühitdə təyin etməkdir. Bu, sirlərin kodla birlikdə saxlanmasının qarşısını alır.
• Kodunuzu Skan Edin: Kodunuzu bir anbara göndərmədən əvvəl, səhvən əlavə edilmiş sirləri aşkar edən alətlərdən istifadə edin. `git-secrets` kimi açıq mənbəli alətlər və ya platformaların öz skan etmə xüsusiyyətləri bu mövzuda kömək edə bilər.
• Minimum Səlahiyyət Prinsipi: Yaratdığınız tokenlərə yalnız görəcəkləri iş üçün lazım olan minimum səlahiyyətləri verin. Bir tokenin yalnız kodu oxuması lazımdırsa, ona yazma və ya silmə səlahiyyəti verməyin.

Əgər bir şirkəti idarə edirsinizsə və ya təhlükəsizlik komandasındasınızsa:

• Sirr İdarəetməsini bir Kimlik Problemi Kimi Görün: Bahalı bir sirr seyfi almaq kifayət deyil. O seyfə kimin (insan və ya maşın) nə vaxt, haradan və niyə daxil olduğunu yoxlayan sərt kimlik və giriş idarəetmə (IAM) siyasətləri yaradın.
• Avtomatlaşdırmanı Tətbiq Edin: Proqramçıların kodlarını anbara göndərmədən əvvəl sirləri avtomatik olaraq skan edən sistemlər qurun (CI/CD boru xəttinizə inteqrasiya edin). Bir sirr aşkar edilərsə, yükləməni avtomatik olaraq bloklayın.
• Sirləri Mütəmadi Olaraq Dəyişdirin (Rotate): Şifrələr və açarlar sonsuza qədər etibarlı olmamalıdır. Sirlərinizi müəyyən fasilələrlə avtomatik olaraq dəyişdirin. Beləliklə, bir sirr sızsa belə, təcavüzkarın onu istifadə edə biləcəyi müddət çox məhdud olar.
• Təlim, Təlim, Təlim: Proqramçılarınızı təhlükəsiz kodlaşdırma təcrübələri və sirr idarəetməsi mövzusunda davamlı olaraq təlimləndirin. Təhlükəsizliyin hər kəsin məsuliyyəti olduğunu bir mədəniyyət halına gətirin.

Şirkət Nə Deyir

Novo Nordisk, hadisəni təsdiqlədi və sızmanı nəzarət altına almaq üçün dərhal hərəkətə keçdiklərini bildirdi. Şirkətdən verilən ilk açıqlamada, daxili bir araşdırmanın başladıldığı və mövzunun aparıcı kiber təhlükəsizlik firmaları ilə birlikdə araşdırıldığı ifadə edildi. Açıqlamada, "Hadisədən xəbərdar olan kimi, sızan tokenə girişi dərhal ləğv etdik və təsir sahəsini müəyyən etmək üçün hərtərəfli bir araşdırma başlatdıq. Hazırkı prioritetimiz, sistemlərimizin və məlumatlarımızın təhlükəsizliyini tam təmin etməkdir." deyildi. Şirkət, araşdırma irəlilədikcə daha çox məlumat paylaşacaqlarını əlavə etdi.

Mənbə

https://www.darkreading.com/cyber-risk/novo-nordisk-breach-exposes-dev-pipeline-risk