Сервис для сканирования URL URLScan сливает конфиденциальные данные

Сервис для сканирования URL URLScan сливает конфиденциальные данные

Сервис для сканирования URL URLScan сливает конфиденциальные данные

Специалисты по кибербезопасности предупреждают, что веб-сервис urlscan[.]io сливает конфиденциальную информацию. Напомним, что задача URLScan — сканировать веб-сайты и выявлять подозрительные либо вредоносные URL.

Сооснователь Positive Security Фабиан Браунляйн отметил в отчёте:

«В публичном доступе оказались частные ссылки на внутренние документы, страницы для сброса паролей, счета и прочее. Все эти данные также можно достать через поиск».

Positive Security углубилась в тему слива информации в феврале 2022 года, после того как GitHub уведомил пользователей о сливе имён их репозиториев сервису urlscan.io. Проблема конфиденциальности усугубляется ещё и тем, что urlscan.io интегрирован в ряд ИБ-продуктов посредством API.

«Поскольку интеграция позволяет сканировать каждое входящее письмо и ссылку, в базу собираемых данных могут попасть конфиденциальные сведения: URL страниц для сброса пароля, ссылки на отписку или создание аккаунта и т. п.», — подчёркивает Браунляйн.

 

В Positive Security также упомянули, что компании удалось найти ссылки на домены Apple. Часть из них являлась расшаренными URL на файлы в iCloud или приглашение на занесённое в календарь мероприятие.

Лжеработодатели блокируют iPhone россиян и требуют выкуп

Мошенники начали блокировать устройства Apple под видом работодателей, которым якобы нужно настроить корпоративное оборудование или предоставить доступ к служебному приложению. О новой схеме рассказал начальник пресс-службы московского главка МВД Владимир Васенин.

Потенциальной жертве предлагают работу, а затем просят выйти из собственной учётной записи Apple и аутентифицироваться с данными, предоставленными работодателем.

После этого устройство оказывается привязано к чужому аккаунту, и злоумышленники получают возможность дистанционно его заблокировать.

Пользователь теряет доступ к iPhone, iPad или другому устройству Apple. Следом мошенники сообщают, что гаджет находится под их контролем, и требуют деньги за разблокировку.

В МВД предупреждают, что перечисление выкупа не гарантирует возвращения устройства. Даже после нескольких платежей злоумышленники могут продолжить требовать деньги или просто исчезнуть, оставив жертву с дорогим кирпичом в руках.

Пользователям не следует выходить из своего аккаунта Apple и вводить на личном устройстве чужие учётные данные по просьбе работодателя, сотрудника техподдержки или любого другого собеседника. Настоящая компания не должна требовать привязывать личный iPhone к неизвестному аккаунту для получения вакансии или установки корпоративного приложения.

Если устройство уже заблокировано, платить выкуп не стоит. Следует обратиться в службу поддержки Apple, подготовить документы, подтверждающие покупку, и подать заявление в полицию.

RSS: Новости на портале Anti-Malware.ru