Пользователи Vodafone оказались под ударом

Пользователи Vodafone оказались под ударом

Румынским исследователем в области безопасности обнаружена уязвимость кроссайтового скриптинга (XSS) на сайтах компании Vodafone, расположенных в девяти доменных зонах. Кроме того, британский сайт компании уязвим к SQL инъекции.

Согласно сообщению, сайты Vodafone.com, Vodafone.com.au, Vodafone.de, Vodafone.es, Vodafone.it, Vodafone.gr , Vodafone.ie , Vodafone.ro, Vodafone.com.tr и Vodafone.in уязвимы к XSS атакам.

Как известно, существует несколько типов атак. Самой опасной из них является, так называемая, «персистентная» (persistent) атака. В этом случае вредоносный код перманентно хранится на сервере и изменяет вид целевых страниц.

Обнаруженная на сайтах Vodafone уязвимость имеет «отраженный» (reflected) тип. Для осуществления атаки необходимо, чтобы пользователь перешел по вредоносной ссылке. Этот тип уязвимости наиболее распространенный и считается менее опасным, чем первый. Но, тем не менее, через нее возможно осуществление фишинговых и других типов атак.

Что касается сайта британского представительства Vodafone, обнаруженная там уязвимость позволяет поводить атаки с помощью SQL инъекции. Этот тип атаки является более опасным, чем XSS, поскольку дает злоумышленникам доступ к базе данных. Кроме того, комбинируя SQL инъекцию с другими технологиями можно получить доступ к серверу. Этот тип уязвимости обычно используется для массовых атак, при внедрении вредоносного кода в легитимные сайты и британский сайт компании не остался в стороне.

Как известно, это не первая атака на Vodafone UK. В ноябре прошлого года, сайт  vodafone.co.uk подвергся XSS атаке, когда злоумышленники под видом программы для проверки баланса рассылали клиентам компании троян. А летом этого года, компанией AVAST были обнаружены эксплойты, размещенные на страницах сайта Vodafone UK.

Румынский энтузиаст, известный под ником d3v1l, имеет большой послужной список по части выявления уязвимостей. С его помощью были обнаружены уязвимости у сайтов крупных компаний, таких как PayPal, Visa, US Bank, VeriSign, Mashable, Twitter, Tweetmeme и Symantec. Подробности об обнаруженных уязвимостях он опубликовал на своем блоге.

Жильцы вправе требовать от консьержей неразглашения данных

Первый заместитель председателя комитета Госдумы по строительству и ЖКХ Владимир Кошелев напомнил, что консьержи могут нести ответственность за разглашение информации о жильцах, вплоть до уголовной. Однако это возможно только в том случае, если требование о конфиденциальности прямо закреплено в их должностной инструкции.

Как пояснил депутат в комментарии ТАСС, жители дома могут включить такой пункт в инструкцию консьержа на общем собрании:

«Что касается беспокойства о приватности информации, которой обладает консьерж, то оно решается правилами, закрепленными в должностной инструкции, утвержденной общим собранием. В ней должен быть чётко прописан отдельный пункт о конфиденциальности — запрет на разглашение любой информации о жильцах и их гостях третьим лицам».

Если это требование будет нарушено, консьержа, как напомнил Владимир Кошелев, могут не только уволить, но и привлечь к уголовной ответственности по статье 137 УК РФ («Нарушение неприкосновенности частной жизни»).

Эта статья предусматривает штраф в размере дохода осуждённого за период до полутора лет, либо принудительные работы на срок до двух лет, либо лишение свободы на тот же срок. Если же противоправные действия были совершены с использованием служебного положения, ответственность становится строже.

Недавно по статье 137 УК РФ было передано в суд уголовное дело в отношении жительницы Алтайского края. По версии следствия, она пыталась собрать компрометирующую информацию на своего руководителя, установив диктофон в его служебном кабинете.

RSS: Новости на портале Anti-Malware.ru