На сайте кредитной системы Visa обнаружена XSS-уязвимость

На сайте кредитной системы Visa обнаружена XSS-уязвимость

Подраздел глобального Интернет-представительства Visa для жителей Соединенных Штатов Америки - usa.visa.com - оказался уязвим для атак посредством межсайтового исполнения сценариев. О проблеме сообщил вчера исследователь в области безопасности, скрывающийся за псевдонимом "d3v1l". Ранее этот специалист уже обнаруживал подобные уязвимости на ряде крупных ресурсов Сети, в числе которых - сайты VeriSign, Twitter и Symantec.

XSS-уязвимость на usa.visa.com относится к классу "reflected XSS". Этот тип - один из наиболее распространенных, однако чрезвычайной опасности он не представляет. При помощи такой уязвимости можно лишь попытаться обманом заставить пользователя перейти по вредоносной ссылке, однако известность ресурса и всеобщее доверие пользователей к имени фирмы способны самым положительным образом сказаться на успешности подобной атаки.

Уязвимость типа "reflected XSS" на сетевом представительстве банка, кредитного объединения или любого иного финансового учреждения, к числу которых относится и Visa, может быть использована для придания кажущейся достоверности фишинговому сообщению. К примеру, не так давно троянские кони из семейства ZBot имели обыкновение направлять пользователей на фальшивые ресурсы, где жертвам предлагалось заполнить онлайн-формы, предназначенные якобы для проводимых Visa и MasterCard программ противодействия мошенничеству.

Эксплуатируя уязвимости такого рода, злоумышленники могут проводить запросы на доставку страниц через пораженный ресурс (в данном случае - usa.visa.com). В фишинговом письме пользователь увидит ссылку, указывающую на http://usa.visa.com/[произвольный текст], и даже если переход по ней в конце концов приведет его на какой-то другой домен, жертва может и не обратить на это никакого внимания: ведь фишерам уже удалось завоевать ее доверие.

Softpedia

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Каждая вторая утечка данных в России связана с онлайн-торговлей

Подразделение Jet CSIRT (команда по реагированию на инциденты ИБ «Инфосистемы Джет») опубликовало обзор утечек данных за первую половину 2025 года. Эксперты зафиксировали более 110 случаев компрометации информации по всей стране.

Больше всего утечек (44%) пришлось на сферу интернет-торговли и онлайн-маркеты. На втором месте — малый бизнес и локальные онлайн-сервисы с долей 22%. Остальные случаи распределились по разным отраслям:

  • образование — 6,5%,
  • финансы и бизнес — 6%,
  • госструктуры — 5,5%,
  • ИТ и ИБ-компании — 3,6%,
  • медицина и страхование — 3,6%,
  • телеком — 3%,
  • строительство и автопром — по 2%,
  • СМИ и медиа — 1,8%.

Почему происходят утечки

Причины традиционные: устаревшее ПО, открытые базы данных, фишинговые рассылки, слабая защита аккаунтов и недостаточный контроль за подрядчиками.

Эксперты отмечают: утечки носят массовый и системный характер, а значит, вопрос уже не в случайностях — уязвимы практически все сегменты. Особенно те, где информационная безопасность не в приоритете, а ресурсы на неё ограничены.

По словам аналитиков, сегодня важна не только защита от атак, но и способность быстро восстановиться после инцидента. Именно эта киберустойчивость может стать решающим фактором для продолжения работы бизнеса.

«Мошенники действуют всё хитрее, а экономия на ИБ уже напрямую бьёт по стабильности компаний. Без грамотной стратегии выжить в текущих условиях сложно», — отмечают в Jet CSIRT.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru