Сайт Почтовой службы США раскрывал информацию о 60 млн пользователях

Сайт Почтовой службы США раскрывал информацию о 60 млн пользователях

Сайт Почтовой службы США раскрывал информацию о 60 млн пользователях

Почтовая служба США на днях устранила серьезную проблему безопасности, которая позволяла каждому, у кого есть аккаунт на сайте usps.com, просматривать детали учетных записей 60 миллионов других пользователей. В некоторых случаях с помощью этой бреши можно было даже изменить детали аккаунта от имени его владельца.

Об этом сообщил независимый эксперт Брайан Кребс, которому поведал о проблеме другой исследователь в области безопасности (он попросил не называть его имя). Информатор утверждал, что более года назад он пытался связаться с представителями USPS, однако ответ так и не получил.

Проблема заключалась в уязвимости процесса аутентификации в API USPS, который был связан с инициативой «Informed Visibility». По словам USPS, «Informed Visibility» направлена на отслеживание данных в режиме реального времени для рекламных кампаний и бизнеса.

В итоге дыра в безопасности позволяла любому пользователю, прошедшему аутентификацию на usps.com, запросить у системы данные аккаунта других юзеров. Среди данных, которые система могла предоставить, были адреса электронной почты, имена пользователей, ID пользователей, номера аккаунтов, адреса проживания, номера телефона и другая информация.

При этом не требовалось использование каких-либо инструментов для взлома — достаточно было простой подстановки необходимых параметров.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Перми задержали сотрудников салона мобильной связи за фиктивные продажи

В Перми полицейские задержали директора и продавца салона сотовой связи за оформление сим-карт на данные посторонних лиц. Задержанным, 1999 и 2003 годов рождения, избрана мера пресечения в виде подписки о невыезде и надлежащем поведении. Расследование продолжается.

О факте задержания сообщил официальный телеграм-канал УМВД по Пермскому краю. По словам самих обвиняемых, они оформляли сим-карты на третьих лиц ради выполнения плана продаж.

Возбуждено уголовное дело по ч. 3 ст. 272 УК РФ — неправомерный доступ к компьютерной информации, совершённый организованной группой либо с использованием служебного положения. Санкции статьи предусматривают до 5 лет лишения свободы или исправительных работ.

«Полиция напоминает: передача персональных данных посторонним может привести к серьёзным последствиям. Злоумышленники могут использовать такую информацию для оформления кредитов на ваше имя или других противоправных действий. Соблюдайте цифровую гигиену, избегайте сомнительных интернет-ресурсов и не передавайте свои данные даже за вознаграждение», — предупреждает УМВД по Пермскому краю.

Сим-карты, оформленные на подставных лиц, часто используются в различных преступных схемах — от взлома аккаунтов до кражи денег через онлайн-банкинг. Известны случаи, когда на номинальных владельцев таких карт оформляли кредиты.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru