Yandex er det største teknologiselskapet i Russland, den nest største søkemotoren i landet – og på mange måter Russlands svar på Google. Selskapet skal tidligere ha vært delvis kontrollert av den russiske staten.
Nå skriver BleepingComputer at et kildekode-repo på totalt 44,7 gigabyte skal ha blitt lekket av en tidligere ansatt i selskapet.
Personen som angivelig skal ha lekket kildekoden postet onsdag 25. januar en lenke til en torrentfil med kildekoden på det som skal være et populært forum for hackere.
Ifølge den som la ut lenken skal filen inneholde nesten all kildekoden, med unntak av antispam-regler.
«Vi gjennomfører en intern undersøkelse for å finne ut årsaken til at deler av kildekoden har blitt lagt ut offentlig.»
Ekspert mener lekkasjen er ekte
Den russiske programvareingeniøren og spillutvikleren Arseniy Shestakov, som bor i London, har analysert den lekkede kildekoden. Han mener at selv om det ikke ser ut til at lekkasjen inneholder persondata, så er den alvorlig for Yandex.
Shestakov har ikke selv jobbet i Yandex, men via personer han kjenner som jobber eller har jobbet der hevder han å ha kunnet verifisere at kildekoden inneholder reell kildekode til selskapets tjenester.
Kildekode til alle de største Yandex-tjenestene er omfattet av lekkasjen:
- Søkemotor og indekserings-bot
- Karttjenester tilsvarende Google Maps og Street View
- Alice – en AI-assistent som liger på Siri / Alexa
- Taxi – en Uber-lignende taxitjeneste
- Direct – annonsetjeneste à la Google Ads / Adwords
- Mail – en e-posttjeneste à la Gmail
- Disk – fillagringstjeneste à la Google Drive
- Market – en markedsplass for kjøp og salg av varer, litt som Amazon
- Travel – tjeneste for booking av hotell, fly, tog og annen transport
I tillegg er det også kildekode for en rekke andre tjenester, blant annet Yandex' skytjenester (men antagelig ikke all infrastrukturkode). Det gjenstår fortsatt å gå gjennom et stort arkiv som heter frontend, skriver Shestakov.
Advarer mot å stole blindt på Copilot: - Forslagene inneholder ofte sårbarheter
– Stjålet av tidligere ansatt
I en kommentar til BleepingComputer innrømmer Yandex at kildekode er på avveie. De sier imidlertid at det ikke dreier seg om hacking, men at en tidligere ansatt har lekket kildekode-repoet.
Yandex sier de har funnet "kodefragmenter" fra et internt repo som er lagt ut offentlig, men at innholdet er forskjellig fra det som er nåværende versjon av repoet som brukes i Yandex' tjenester.
"Vi gjennomfører en intern undersøkelse for å finne ut årsaken til at deler av kildekoden har blitt lagt ut offentlig, men vi ser ikke på dette som noen trussel mot brukernes data eller ytelsen til plattformen vår", skriver Yandex.
«Tilgang til kildekoden kan gjøre det mulig for hackere å identifisere sikkerhetshull.»
Politisk motiv
BleepingComputer har snakket med Grigory Bakunov, som har hatt en høy stilling i Yandex fra 2002 til 2019. Han er godt kjent med den lekkede kildekoden.
Bakunov mener motivet for lekkasjen er politisk, og at den tidligere ansatte som lekket koden ikke har prøvd å selge den til konkurrenter.
Tilgang til kildekoden kan imidlertid gjøre det mulig for hackere å identifisere sikkerhetshull. Han tror at selv om koden ikke er siste versjon, så er den antagelig opptil 90 prosent lik den Yandex kjører i dag.
