Почтовая служба США на днях устранила серьезную проблему безопасности, которая позволяла каждому, у кого есть аккаунт на сайте usps.com, просматривать детали учетных записей 60 миллионов других пользователей. В некоторых случаях с помощью этой бреши можно было даже изменить детали аккаунта от имени его владельца.
Об этом сообщил независимый эксперт Брайан Кребс, которому поведал о проблеме другой исследователь в области безопасности (он попросил не называть его имя). Информатор утверждал, что более года назад он пытался связаться с представителями USPS, однако ответ так и не получил.
Проблема заключалась в уязвимости процесса аутентификации в API USPS, который был связан с инициативой «Informed Visibility». По словам USPS, «Informed Visibility» направлена на отслеживание данных в режиме реального времени для рекламных кампаний и бизнеса.
В итоге дыра в безопасности позволяла любому пользователю, прошедшему аутентификацию на usps.com, запросить у системы данные аккаунта других юзеров. Среди данных, которые система могла предоставить, были адреса электронной почты, имена пользователей, ID пользователей, номера аккаунтов, адреса проживания, номера телефона и другая информация.
При этом не требовалось использование каких-либо инструментов для взлома — достаточно было простой подстановки необходимых параметров.
