Youn nan itilizatè yo "Avito" pèdi 119 mil rubles lè vann teknoloji yo lè l sèvi avèk sèvis avito-livrezon. Ankèt la nan viktim nan te montre ke sèvis la gen yon vilnerabilite enpòtan, akòz ki atakan ka byen fasil jwenn aksè nan nenpòt ki kont avito.
Nan fen 2020, itilizatè a "Avito" alex.edt vann sou sit la yon seri panno koreksyon koulè pou 119 mil rubles. Achtè a te jwenn ak bèt yo ofri bay pwoblèm yon kontra nan avito-livrezon, ki te fè. Byen yo te avèk siksè lage nan vil la nan moun k ap resevwa a, li pran pasèl la ak peye pou lòd la.
Nan aswè a nan menm jou a, viktim nan te eseye ouvri sesyon an nan Avito, men li pa t 'reyisi - sistèm nan rapòte ke itilizatè a ak tankou yon login, nimewo telefòn lan ak imel ak avito tou senpleman pa egziste. Ansanm ak yon espesyalis abitye nan cybersecurity alex.edt, yo tcheke mòso bwa rezo, lapòs mòso bwa, adrès IP, tan otorizasyon, login operatè pou apèl ak SMS, osi byen ke pi plis, men yo pa t 'kapab jwenn anyen pwente nan ap eseye Hack.
Sipò teknik "Avito" retabli aksè a kont lan sèlman jou kap vini an ak viktim nan te wè yon nimewo telefòn konplètman envalid te mare nan kont lan, ki, Anplis, pa te konfime.
Ankèt la ki fèt pa viktim nan mennen nan lefèt ke te frajilite a kritik nan sèvis la avito-livrezon dekouvri, ak ki atakan ka byen fasil jwenn aksè nan nenpòt ki kont.
Kòmanse yon deskripsyon nan pwoblèm nan kanpe ak lefèt ke sèvis la avito poukont fòme fakti a Boxberry, ki endike nimewo telefòn lan nan vandè a mare nan kont lan avito, non an nan sa ki nan sa ki nan pasèl la, osi byen ke pri a plen. Kòm yon rezilta nan sa a, nan yon moman nan mouvman nan pasèl la, anplwaye Boxberry ak anpil lòt moun k ap patisipe nan pwosesis lojistik resevwa yon seri enfòmasyon konfidansyèl, ki pèmèt yo mete tan an livrezon nan pwen an pwoblèm, valè, nimewo telefòn li yo nan vandè a:
Men, gen pratik menm jan an nan konpayi transpò anpil, se konsa li kapab konsidere kòm dabitid, men se pa nan ka a nan Avito. Pwoblèm lan se ke Avito gen yon sèvis sipò teknik vwa (nimewo 8-800-, elatriye), kote ka itilizatè a dwe idantifye si li tou senpleman rele nimewo telefòn lan ki mare nan kont lan. Apre otorizasyon siksè nan sipò teknik vwa ak yon pwofil, ou ka fè nenpòt ki aksyon, ki gen ladan chanje adrès imel la.
Pou viktim potansyèl (itilizatè avito), yon lòt pwoblèm se ke se chanjman nan adrès imel lè l sèvi avèk tankou yon metòd fèt nan "Mode trankil la" - pa gen okenn notifikasyon nan itilizatè a nan adrès imel la fin vye granmoun pa pral resevwa. Se poutèt sa, si itilizatè a pou otorizasyon sou Avito aplike yon "nimewo telefòn + modpas" pake, Lè sa a, li pa konnen si imel li nan kont lan ranplase entrigan yo.
Itilizatè ki afekte Alex.edt la te kapab retabli kwonoloji a nan evènman:
- Atakè yo sou Desanm 28 nan 14.16 rele nimewo telefòn lan ak ID a fo (repete nimewo nan nimewo telefòn lan nan Alex.edt) nan sipò avito.
- Nan 14.17, Ofisye Sipò teknik Avito, apre règleman yo apwouve, tcheke nimewo telefòn moun kap rele a ak idantifye li kòm yon detantè kont.
- Atakè a mande ofisye a sipò teknik chanje adrès imel la nan yon lòt (anplwaye a pa t 'lakòz sispèk menm si imel pa t' chanje depi 2011, epi yo te demann lan pou yon chanjman ranplase nan jou a nan prezantasyon an swadizan nan pasèl la chè ak Avito-livrezon):
- Apre chanjman nan siksè nan "Avito" voye yon notifikasyon ki se adrès imel la avèk siksè ranplase. Bagay la etranj se ke se notifikasyon an voye sèlman nan imel la nouvo, e pa gen anyen vini nan yon sèl la fin vye granmoun:
- Kòm yon rezilta, atakè yo (pa san yo pa èd nan kalite nan anplwaye nan ofisye yo sipò teknik "Avito") te resevwa tout bagay ou bezwen gen opòtinite pou yo dekore lajan an.
- Nan 18.36, viktim nan te resevwa yon avi ke pasèl la rive nan emisyon moun k ap resevwa a. Nan 19,20, pake a te pran achtè a:
- Nan 19,32, atakan lage modpas la lè l sèvi avèk imel la deja modifye epi pou yo jwenn aksè fasil nan kont lan:
- Se opinyon pwofil la te pote soti lè l sèvi avèk vpn (jeolokalizasyon - Bilgari). Gen plis chans, avito pa nan tout gen yon sistèm jesyon risk, oswa li pa travay kòm li ta dwe:
- Nan 19,34, atakè retire nimewo telefòn lan, ki te mare nan kont lan pou 9 ane. SMS notifikasyon sou sa a blese pa vini. Se chanjman an tou te fè imedyatman - san yo pa mòd sibstiti nan plizyè èdtan, elatriye
- Nan 19.51, Avito fèmen tranzaksyon an, èskro jwenn yon referans a retrè a nan lajan.
- Nan 19.52, èskro pran 119 mil rubles soti nan sèvis la:
Itilizatè ki afekte a kòmante jan sa a k ap pase a: "pi afekte ki pi nan egzistans lan nan tankou yon vilnerabilite, malgre lefèt ke entènèt la gen yon nimewo gwo woulèt ki atakan ka rele nan nimewo telefòn fo, ak ki jan sèvis la avito refere a pwoblèm sa a. Sipò teknik "Avito" poukont bay èskro tout aksè nan kont lan, men reprezantan yo sèvis repete sèlman ke li te nesesè yo envante yon modpas plis serye, li di yon lòt istwa san sans estanda, ki pa te gen anyen fè ak pwoblèm nan.
Kòm yon rezilta nan diskisyon an, pozisyon nan sèvis la avito rete menm jan an - nou pa konnen ki jan ou te rache. Li ta dwe konprann ke metòd la dekri anwo a se ki enpòtan - chak kont "Avito" ka rache ak plis koupl. Ak nenpòt zouti sekirite enfòmasyon itilize, itilizatè yo pa yo pral kapab kenbe tèt avè sa a vilnerabilite ":
Plis materyèl enteresan sou Cisoclub.ru. Abònman nan nou: Facebook | VK | Twitter | Instagram | Telegram | Zen | Messenger | ICQ Nouvo | YouTube | Batman kè.