PayPal выплатила эксперту $200 000 за баг, позволяющий украсть деньги людей

PayPal выплатила эксперту $200 000 за баг, позволяющий украсть деньги людей

PayPal выплатила эксперту $200 000 за баг, позволяющий украсть деньги людей

Исследователь в области кибербезопасности рассказал о векторе атаки на электронную платёжную систему PayPal, с помощью которого злоумышленники могут украсть средства пользователей. Для реализации этой атаки достаточно одного клика жертвы, предупреждает специалист.

Как вы уже наверняка поняли, речь идёт о так называемом кликджекинге — когда пользователя обманом заставляют кликнуть на один из якобы безобидных элементов веб-страницы. Это может быть специальная кнопка или форма, но результат один — либо пользователя перенаправят на вредоносный сайт, либо загрузят на его компьютер зловред.

«Таким образом, атакующий может ввести пользователя в заблуждение, чтобы последний кликнул на элементе. Это приведёт к редиректу потенциальной жертвы на страницу, которой управляет другое веб-приложение или домен», — объясняет исследователь под ником h4x0r_dz, выявивший проблему в безопасности системы PayPal.

Эксперт записал видеоролик, в котором демонстрируется и объясняется обнаруженный вектор атаки:

 

По словам h4x0r_dz, проблема присутствовала на странице, размещённой по адресу www.paypal[.]com/agreements/approve. PayPal решила выплатить исследователю 200 тысяч долларов после ознакомления с его отчётом.

«Проблемная страница предназначена для соглашения о выставлении счетов, поэтому должна принимать только billingAgreementToken. Тем не менее в процессе тестирования я обнаружил, что мы можем подсунуть токены другого типа и привести к краже денег со счетов пользователей», — продолжает h4x0r_dz.

Другими словами, условный киберпреступник мог разместить iframe, который бы вынуждал жертву направить свои средства на его аккаунт. Для эксплуатации требовался всего один клик. Ещё хуже, что этот вектор работал и в случае с онлайн-сервисами, позволяющими интегрироваться с PayPal для ведения кассы.

«В этом случае я мог заставить пользователя добавить средства на мой счёт и, например, заплатить за мой аккаунт Netflix», — подытоживает h4x0r_dz.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Лаборатория Касперского остановила ликвидацию британской Kaspersky Labs

«Лаборатории Касперского» удалось остановить процесс принудительной ликвидации британскими властями холдинговой структуры Kaspersky Labs Limited.

Об этом сообщает РБК со ссылкой на документы, опубликованные в британском реестре юридических лиц.

Процедура ликвидации Kaspersky Labs Limited была инициирована 4 марта после того, как власти Великобритании уведомили Kaspersky Labs Limited и Kaspersky Lab UK Limited о непредставлении финансовой отчётности. Это автоматически запускало процесс ликвидации компаний, по завершении которого всё их имущество переходило бы государству.

Как пояснили РБК в «Лаборатории Касперского», задержка возникла из-за смены аудитора. Компания предоставила регистратору доказательства того, что подача отчётности в установленный срок была технически невозможна. В результате процесс ликвидации и удаление юридических лиц из реестра были приостановлены.

Kaspersky Labs Limited — головная структура холдинга, управляющего международными подразделениями «Лаборатории Касперского». До 2022 года ей принадлежала как сама компания, так и её дочерние предприятия, однако позднее структура была передана российскому менеджменту. Это решение было принято для «повышения устойчивости бизнеса в текущих условиях».

В 2024 году британский офис «Лаборатории Касперского» был закрыт, а бизнес передан партнёрам. Тем не менее холдинговая компания Kaspersky Labs Limited продолжает функционировать.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru