Исследователь взломал веб-сервис Toyota с внутренними документами

Исследователь взломал веб-сервис Toyota с внутренними документами

Исследователь взломал веб-сервис Toyota с внутренними документами

Глобальная система управления информацией о подготовке поставщиков (GSPIMS) компании Toyota оказалась дырявой. Исследователь под псевдонимом EatonWorks взломал GSPIMS и сообщил о проблеме представителям автомобилестроительной корпорации.

GSPIMS представляет собой веб-приложение, позволяющее сотрудникам и поставщикам удалённо получать доступ и управлять глобальной цепочкой поставок Toyota.

Специалист с ником EatonWorks выявил в системе Toyota бэкдор, с помощью которого любой мог получить доступ к существующему аккаунту. Для этого достаточно было знать адрес электронной почты.

В ходе тестовой попытки проникновения исследователь понял, что лазейка позволяет добраться до тысяч конфиденциальных документов, внутренних проектов, данных о поставщиках и т. п.

Представители Toyota узнали о проблеме 3 ноября 2022 года, а в конце того же месяца японская корпорация устранила уязвимость. Теперь EatonWorks с чистой совестью смог опубликовать подробности выявленной проблемы. Интересно, что Toyota так и не выплатила эксперту вознаграждение.

Приложение GSPIMS создано на базе JavaScript-фреймворка Angular, при этом софт использует специфические маршруты и функции, помогающие вычислять, к каким страницам имеют доступ определённые пользователи.

EatonWorks обнаружил возможность модифицирования JavaScript-кода этих функций, чтобы они всегда возвращали значение «true».

 

Кроме того, специалист выяснил, что сервис генерирует JSON Web Token (JWT) для входа без пароля. Аутентификация требовала только адреса электронной почты одного из сотрудников Toyota. В результате бэкдор открывал любому доступ к данным 14 тысяч пользователей, а также внутренним корпоративным документам.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники, устраивающие конкурсы в Telegram, заручились поддержкой ботов

Киберполиция России предупреждает: мошеннические призывы голосовать за конкурсанта в мессенджерах стали еще более убедительными. Схема привлечения посетителей на фишинговые сайты теперь реализуется поэтапно.

Новую многоступенчатую атаку силовики представили так: массовая активность со знакомыми именами → социальное подтверждение → снижение бдительности → клик по фишинговой или вредоносной ссылке.

На практике это происходит следующим образом. Злоумышленники клонируют аккаунт знакомого намеченных жертв и создают из-под него группу поддержки участника мифического конкурса.

Коварную ссылку содержит опубликованный в фальшивом сообществе текст обращения «конкурсанта». Заполнив площадку ободряющими репликами (с этой целью используются десятки ботов), обманщики приглашают присоединиться реальных юзеров — на правах читателей.

Цель всего этого спектакля осталась прежней: заманить пользователей мессенджера на целевую страницу. Чтобы создать иллюзию безопасности такого шага, мошенники даже могут сымитировать проверку антивирусом.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru