Сервис для сканирования URL URLScan сливает конфиденциальные данные

Сервис для сканирования URL URLScan сливает конфиденциальные данные

Сервис для сканирования URL URLScan сливает конфиденциальные данные

Специалисты по кибербезопасности предупреждают, что веб-сервис urlscan[.]io сливает конфиденциальную информацию. Напомним, что задача URLScan — сканировать веб-сайты и выявлять подозрительные либо вредоносные URL.

Сооснователь Positive Security Фабиан Браунляйн отметил в отчёте:

«В публичном доступе оказались частные ссылки на внутренние документы, страницы для сброса паролей, счета и прочее. Все эти данные также можно достать через поиск».

Positive Security углубилась в тему слива информации в феврале 2022 года, после того как GitHub уведомил пользователей о сливе имён их репозиториев сервису urlscan.io. Проблема конфиденциальности усугубляется ещё и тем, что urlscan.io интегрирован в ряд ИБ-продуктов посредством API.

«Поскольку интеграция позволяет сканировать каждое входящее письмо и ссылку, в базу собираемых данных могут попасть конфиденциальные сведения: URL страниц для сброса пароля, ссылки на отписку или создание аккаунта и т. п.», — подчёркивает Браунляйн.

 

В Positive Security также упомянули, что компании удалось найти ссылки на домены Apple. Часть из них являлась расшаренными URL на файлы в iCloud или приглашение на занесённое в календарь мероприятие.

Подпишитесь на новости

WhatsApp начал блокировать вход на устройствах с устаревшими Android и iOS

WhatsApp (принадлежит корпорации Meta, признанной экстремистской и запрещённой в России) вводит новое ограничение: некоторым пользователям устаревших Android и iOS мессенджер не дает войти в аккаунт, пока они не обновят операционную систему. Кнопки, позволяющей решить проблему потом, не предусмотрено.

По данным WABetaInfo, механизм распространяется через серверное обновление.

Устанавливать конкретную версию WhatsApp для его появления не требуется. Пока ограничение включают для отдельных пользователей обеих платформ.

При попытке входа появляется экран с инструкцией: открыть настройки телефона, установить доступное обновление ОС и снова попробовать аутентифицироваться. Там же объясняется, как проверить текущую версию системы. Пропустить этот шаг нельзя.


При этом точного списка версий Android и iOS, которые вызывают блокировку, WhatsApp пока не опубликовал. Поэтому говорить, что мессенджер разом отрезал все старые смартфоны, рано.

WABetaInfo связывает меру с безопасностью устройства: известные уязвимости устаревшей ОС могут помочь злоумышленникам установить вредоносную программу. Сквозное шифрование переписки не спасает, если данные перехватывают уже на самом телефоне.

Главный вопрос остается открытым: что делать владельцам устройств, которым производитель больше не выпускает обновления? В опубликованном описании механизма ответа нет.

RSS: Новости на портале Anti-Malware.ru