Сайт Почтовой службы США раскрывал информацию о 60 млн пользователях

Сайт Почтовой службы США раскрывал информацию о 60 млн пользователях

Сайт Почтовой службы США раскрывал информацию о 60 млн пользователях

Почтовая служба США на днях устранила серьезную проблему безопасности, которая позволяла каждому, у кого есть аккаунт на сайте usps.com, просматривать детали учетных записей 60 миллионов других пользователей. В некоторых случаях с помощью этой бреши можно было даже изменить детали аккаунта от имени его владельца.

Об этом сообщил независимый эксперт Брайан Кребс, которому поведал о проблеме другой исследователь в области безопасности (он попросил не называть его имя). Информатор утверждал, что более года назад он пытался связаться с представителями USPS, однако ответ так и не получил.

Проблема заключалась в уязвимости процесса аутентификации в API USPS, который был связан с инициативой «Informed Visibility». По словам USPS, «Informed Visibility» направлена на отслеживание данных в режиме реального времени для рекламных кампаний и бизнеса.

В итоге дыра в безопасности позволяла любому пользователю, прошедшему аутентификацию на usps.com, запросить у системы данные аккаунта других юзеров. Среди данных, которые система могла предоставить, были адреса электронной почты, имена пользователей, ID пользователей, номера аккаунтов, адреса проживания, номера телефона и другая информация.

При этом не требовалось использование каких-либо инструментов для взлома — достаточно было простой подстановки необходимых параметров.

Подпишитесь на новости

Дипфейк за $5: поддельные видео для атак на бизнес резко подешевели

Мошенникам стало дешевле изображать чужого начальника. За последние два года стоимость создания дипфейков для атак на компании снизилась примерно в 100 раз: минута убедительного поддельного видео может обходиться всего в $5 вместо прежних нескольких сотен долларов.

О снижении цен рассказали «Известия». На теневых площадках также предлагают готовые шаблоны, которые позволяют дополнительно сократить расходы.

У бизнеса такая статистика должна вызывать тревогу: чем дешевле подделка, тем ниже порог входа в мошенничество. Знакомое лицо на экране всё труднее считать доказательством того, что с вами действительно разговаривает коллега или руководитель.

Особенно опасно сочетание узнаваемого человека и срочного поручения: перевести деньги, передать документы, сообщить данные для входа. В такой ситуации убедительная картинка помогает продавить доверие, а спешка — обойти привычные проверки.

Финансовые поручения нужно подтверждать по независимому, заранее известному каналу, советуют эксперты. Перезвонить настоящему руководителю выйдет дешевле.

RSS: Новости на портале Anti-Malware.ru