Ein einziger GitHub Personal Access Token in einer Bosch-App. Die Konsequenz: Zugriff auf die Build-Pipeline einer Drittanbieter-Plattform, die von über 500 Unternehmen weltweit eingesetzt wird. Ein klassischer Supply-Chain-Angriff — nur dass diesmal niemand angreifen musste. Die Tür stand offen.
Die Bosch-Mitarbeiter-App enthält hartcodierte Zugangsdaten für eine Drittanbieter-Plattform für Mitarbeiterkommunikation. Diese Plattform wird von über 500 Unternehmen weltweit eingesetzt — darunter DAX-Konzerne, Mittelständler und internationale Organisationen.
Der exponierte GitHub Personal Access Token ermöglicht Zugriff auf:
Ein Supply-Chain-Angriff entsteht, wenn ein Angreifer nicht das Zielunternehmen direkt kompromittiert, sondern einen gemeinsamen Dienstleister. In diesem Fall:
Bosch → Drittanbieter-Plattform → 500+ Unternehmen
Ein einzelner kompromittierter Zugangsdatensatz in der Bosch-App hätte kaskadierenden Zugriff auf die HR-Daten, Push-Kanäle und interne Kommunikation von hunderten Organisationen ermöglicht.
Vergleich: Der SolarWinds-Angriff (2020) betraf ~18.000 Organisationen über denselben Mechanismus — ein kompromittierter Dienstleister.
Neben dem GitHub PAT wurden in mehreren Bosch-APKs weitere CI/CD-Zugangsdaten identifiziert:
Diese Credentials waren in öffentlich über den Google Play Store herunterladbaren APKs enthalten — kein Hacking erforderlich.