Unu el la uzantoj "Avito" perdis 119 mil rublojn vendante ilian teknologion per avito-livera servo. La esploro de la viktimo montris, ke la servo havas kritikan vundeblecon, pro kiu atakantoj povas facile aliri ajnan Avito-konton.
Fine de la 2020, la uzanto "Avito" Alex.Edt vendis sur la retejo aro de koloraj korektaj paneloj por 119 mil rubloj. La aĉetanto trovis kaj proponis elsendi interkonsenton tra Avito-livero, kiu estis farita. La varoj estis sukcese liveritaj al la urbo de la ricevanto, li prenis la pakaĵon kaj pagis la mendon.
En la vespero de la sama tago, la viktimo provis ensaluti al Avito, sed li ne sukcesis - la sistemo raportis, ke la uzanto kun tia ensaluto, la telefonnumero kaj retpoŝto al Avito simple ne ekzistas. Kune kun konata specialisto pri cibersekureco Alex.Edt, ili kontrolis retajn protokolojn, retpoŝtajn protokolojn, IP-adresojn, rajtigan tempon, ensalutajn operatorojn por alvokoj kaj SMS, kaj ankaŭ multe pli, sed ili ne povis trovi ion ajn montrante provante pirati.
La teknika subteno "Avito" restarigis aliron al la konto nur la sekvan tagon kaj la viktimo vidis, ke tute fremda telefonnumero estis ligita al la konto, kiu, cetere, ne estis konfirmita.
La esploro farita de la viktimo kondukis al la fakto, ke la kritika vundebleco de la servo de aviadil-liveraĵo estis malkovrita, kun kiu atakantoj povas facile aliri ajnan konton.
Komenci priskribon de la problemo staranta kun la fakto, ke la servo Avito sendepende formas la skatolo-fakturon, kiu indikas la telefonan numeron de la vendisto ligita al la Avito-konto, la nomo de tio, kio estas en la pakaĵo, kaj ankaŭ la plenan koston. Kiel rezulto de ĉi tio, dum la movado de la pakaĵo, skatolo-kunlaborantaro kaj multaj aliaj partoprenantoj en loĝistikaj procezoj ricevas aron de konfidencaj informoj, kiuj permesas ilin agordi la livera tempo al la temo-punkto, ĝia valoro, telefonnumero de la vendisto:
Sed estas similaj praktikoj en multaj transportaj kompanioj, do ĝi povas esti konsiderata kutima, sed ne en la kazo de Avito. La problemo estas, ke Avito havas voĉan teknikan subtenan servon (nombro 8-800-, ktp.), Kie la uzanto povas esti identigita se ĝi simple nomas la telefonan numeron ligita al la konto. Post sukcesa rajtigo pri voĉo teknika subteno kun profilo, vi povas fari ajnajn agojn, inkluzive ŝanĝante la retpoŝtadreson.
Por eblaj viktimoj (uzantoj de Avito), alia problemo estas, ke la ŝanĝo de retpoŝta adreso per tia metodo estas farita en la "trankvila reĝimo" - neniuj sciigoj pri la uzanto al la malnova retpoŝta adreso ne ricevos. Sekve, se la uzanto por rajtigo pri Avito aplikas "telefonan numeron + pasvorton", tiam ĝi ne scias, ĉu ĝia retpoŝto en la konto anstataŭigis la entrudulojn.
La tuŝita uzanto Alex.Edt povis restarigi la kronologion de eventoj:
- La atakantoj la 28an de decembro je 14.16 nomis la telefonan numeron kun la falsa ID (ripetantaj nombroj en la telefona nombro de Alex.Edt) al Avito-subteno.
- Je 14.17, Avito Teknika Subtenado Oficiro, sekvante la aprobita reguloj, kontrolis la telefonan numeron de la alvokanto kaj identigis ĝin kiel konton posedanto.
- La atakanto demandis la Teknikan Subtenan Oficiron ŝanĝi la retpoŝtadreson al alia (la dungito ne kaŭzis suspekton eĉ se retpoŝto ne ŝanĝiĝis ekde 2011, kaj la peto por ŝanĝo estis anstataŭigita en la tago de la supozata prezento de la multekosta pakaĵo kun Avito-livero):
- Post la sukcesa ŝanĝo de "Avito" sendas sciigon, ke la retpoŝta adreso sukcese anstataŭas. Lin pli stranga estas kiu la sciigo estas sendita nur al la nova retpoŝto, kaj nenio venas al la malnova:
- Rezulte, la atakantoj (ne sen la afabla helpo de dungitoj de la teknikaj subtenaj oficiroj "Avito") ricevis ĉion, kion vi bezonas havi la okazon por ornami la monon.
- Je 18,36, la viktimo ricevis avizon, ke la pakaĵo venis al la eldonado de la ricevinto. En 19.20, la pako prenis la aĉetanton:
- En 19.32, atakantoj faligas la pasvorton per la antaŭe modifita retpoŝto kaj akiru facilan aliron al la konto:
- La profilo enigo estas efektivigita per VPN (Geolokado - Bulgario). Plej verŝajne, Avito tute ne havas riskan administradan sistemon, aŭ ĝi ne funkcias kiel ĝi devus:
- Je 19,34, atakantoj forigas la telefonan numeron, kiu estis ligita al la konto dum 9 jaroj. SMES-sciigo pri ĉi tiu vundito ne venas. La ŝanĝo ankaŭ estas farita tuj - sen standby-reĝimo en pluraj horoj, ktp.
- En 19.51, Avito fermas la transakcion, fraŭdoj ricevas referencon al la retiro de financoj.
- En 19.52, Fraudsters prenas 119 mil rublojn de la servo:
La tuŝita uzanto diris jene la okazanta: "La plej influas la plej verŝajne de la ekzisto de tia vundebleco, malgraŭ la fakto, ke interreto havas grandegan nombron da ruloj, kiujn atakantoj povas voki de falsaj telefonaj numeroj, kaj kiel la servo de Avito-servo. rilatas al ĉi tiu problemo. Teknika subteno "Avito" sendepende provizis fraŭdojn plenan aliron al la konto, sed la servaj reprezentantoj ripetis nur, ke necesis elpensi pli fidindan pasvorton kaj rakonti alian norman sensencaĵon, kiu nenion rilatas al la problemo.
Rezulte de la diskuto, la pozicio de la servo Avito restis la sama - ni ne scias kiel vi estis hakita. Oni devas kompreni, ke la metodo priskribita supre estas la koncerna - ĉiu konto "Avito" povas esti hakita kun plia paro. Kaj iuj informoj pri sekureco uzataj, uzantoj ne povos rezisti ĉi tiun vundeblecon ":
Pli interesa materialo pri Cisoclub.ru. Abonu nin: Facebook | Vk | Twitter | Instagram | Telegramo | Zen | Messenger | ICQ New | YouTube | Pulso.