Ключи от «Эмми» в исходном коде. Обновление сайта открыло доступ к секретам престижной премии всем желающим
NewsMakerНебольшой сбой в настройках едва не превратил закулисье индустрии в проходной двор.
Обновление сайта перед сезоном премии «Эмми» обернулось серьёзным инцидентом: официальный видеосервис Emmy.tv, через который пользователи смотрят церемонии и архивные материалы, на несколько недель раскрыл доступ к облачной инфраструктуре. Ошибка затронула не только публичный сайт, но и внутренние сервисы, где могли храниться заявки участников, рабочая переписка и служебные файлы.
Cybernews сообщил , что в начале апреля получил анонимную наводку о проблеме на платформе Emmy.tv. По данным команды, после обновления сайта в общедоступном HTML-коде оказались учётные данные Amazon Web Services. Этот код загружал любой браузер при открытии страницы, поэтому ключи могли найти не только специалисты, но и автоматические боты, которые постоянно ищут подобные ошибки.
Утечка могла открыть доступ к облачным хранилищам с файлами Slack, Jira и Zoom, электронными письмами Emmys, внутренними базами данных, а также инфраструктурой приложений для Android, Fire TV, iOS и Roku. Отдельный риск создавало хранилище, где размещались материалы заявок на премию, включая трейлеры и сценарии. По данным Cybernews, часть ресурсов вообще не требовала учётных данных, что указывает на дополнительные ошибки в настройке доступа.
Команда Cybernews проверила информацию анонимного специалиста, но, по собственному утверждению, не использовала раскрытые ключи для входа во внутренние сервисы. После проверки специалисты связались с Emmys. К 6 мая учётные данные уже не отображались в коде сайта.
Главная опасность инцидента заключалась в масштабе доступа. Один набор ключей, судя по опубликованным данным, мог быть связан сразу с несколькими сервисами. В случае попадания таких данных к злоумышленникам последствия могли выйти далеко за пределы обычной утечки файлов. Доступ к рабочей переписке, задачам, базам данных и материалам заявок теоретически позволил бы создавать несанкционированные аккаунты, проводить фишинговые атаки , изучать внутренние процессы и даже пытаться вмешаться в конкурсные процедуры.
Cybernews подчёркивает, что проблема стала примером опасной зависимости от единого набора учётных данных. Когда разные сервисы используют общие ключи, одна ошибка превращается в слабое место для всей инфраструктуры. В данном случае ситуация выглядела ещё страннее, поскольку ключи отправлялись каждому посетителю сайта вместе с указанием доступных облачных хранилищ, хотя часть таких хранилищ, по данным команды, и без того была открыта из-за неправильной настройки.
По опубликованной хронологии, утечку обнаружили 9 апреля 2026 года, первое уведомление отправили 13 апреля, а устранение проблемы Cybernews заметил 6 мая. Emmy.tv на момент публикации не предоставил комментарий по запросу издания.
Обновление сайта перед сезоном премии «Эмми» обернулось серьёзным инцидентом: официальный видеосервис Emmy.tv, через который пользователи смотрят церемонии и архивные материалы, на несколько недель раскрыл доступ к облачной инфраструктуре. Ошибка затронула не только публичный сайт, но и внутренние сервисы, где могли храниться заявки участников, рабочая переписка и служебные файлы.
Cybernews сообщил , что в начале апреля получил анонимную наводку о проблеме на платформе Emmy.tv. По данным команды, после обновления сайта в общедоступном HTML-коде оказались учётные данные Amazon Web Services. Этот код загружал любой браузер при открытии страницы, поэтому ключи могли найти не только специалисты, но и автоматические боты, которые постоянно ищут подобные ошибки.
Утечка могла открыть доступ к облачным хранилищам с файлами Slack, Jira и Zoom, электронными письмами Emmys, внутренними базами данных, а также инфраструктурой приложений для Android, Fire TV, iOS и Roku. Отдельный риск создавало хранилище, где размещались материалы заявок на премию, включая трейлеры и сценарии. По данным Cybernews, часть ресурсов вообще не требовала учётных данных, что указывает на дополнительные ошибки в настройке доступа.
Команда Cybernews проверила информацию анонимного специалиста, но, по собственному утверждению, не использовала раскрытые ключи для входа во внутренние сервисы. После проверки специалисты связались с Emmys. К 6 мая учётные данные уже не отображались в коде сайта.
Главная опасность инцидента заключалась в масштабе доступа. Один набор ключей, судя по опубликованным данным, мог быть связан сразу с несколькими сервисами. В случае попадания таких данных к злоумышленникам последствия могли выйти далеко за пределы обычной утечки файлов. Доступ к рабочей переписке, задачам, базам данных и материалам заявок теоретически позволил бы создавать несанкционированные аккаунты, проводить фишинговые атаки , изучать внутренние процессы и даже пытаться вмешаться в конкурсные процедуры.
Cybernews подчёркивает, что проблема стала примером опасной зависимости от единого набора учётных данных. Когда разные сервисы используют общие ключи, одна ошибка превращается в слабое место для всей инфраструктуры. В данном случае ситуация выглядела ещё страннее, поскольку ключи отправлялись каждому посетителю сайта вместе с указанием доступных облачных хранилищ, хотя часть таких хранилищ, по данным команды, и без того была открыта из-за неправильной настройки.
По опубликованной хронологии, утечку обнаружили 9 апреля 2026 года, первое уведомление отправили 13 апреля, а устранение проблемы Cybernews заметил 6 мая. Emmy.tv на момент публикации не предоставил комментарий по запросу издания.