Уязвимости ecommerce-платформы Honda сливали данные дилеров и клиентов

Уязвимости ecommerce-платформы Honda сливали данные дилеров и клиентов

Уязвимости ecommerce-платформы Honda сливали данные дилеров и клиентов

Раскрыты детали уязвимостей, найденных в платформе Honda Dealer Sites, облегчающей продажу электрооборудования: генераторов, насосов, газонокосилок. Баги, позволявшие получить информацию о клиентах и торговых партнерах компании, уже устранены.

О наличии серьезных проблем с безопасностью платформы электронной коммерции Honda узнала три месяца назад. Вендор немедленно запустил расследование, подтвердил возможность утечки и к началу апреля устранил все недочеты; признаков злоупотребления не обнаружено.

По словам автора опасных находок, анализ админ-панели, предоставляемой пользователям hondadealersites.com, выявил ошибку в реализации API для восстановления пароля. Ее использование позволяло сбросить пароль тестового аккаунта, а связке с другой найденной уязвимостью (IDOR, небезопасная прямая ссылка на объект) — получить доступ к данным всех дилеров, меняя идентификатор в URL.

Как оказалось, отсюда же можно с помощью особого запроса повысить привилегии до уровня администратора платформы (функциональность, доступная только сотрудникам Honda). Такой эксплойт позволял получить представление о дилерской сети и дивидендах компании в виде платы, взимаемой с подписчиков.

Из-за неадекватного контроля доступа можно было добраться до любой информации на платформе, притом даже из-под тестового аккаунта. А полный админ-доступ позволял получить, например, такие сведения:

  • данные более чем 21 тыс. заказов, оформленных у дилеров в период с 2016 года по 2023-й, с именами, адресами и телефонами клиентов;
  • имена, имейл, пароли 3588 дилеров, с возможностью подмены;
  • имена, фамилии, имейл более 11 тыс. клиентов;
  • формы финансовой отчетности;
  • потенциально — закрытые криптоключи PayPal, Stripe, Authorize.net.

Уязвимости также позволяли получить доступ к 1570 сайтам дилеров и привнести изменения — например, внедрить веб-скиммер. А доступ к детализации заказов можно было использовать для целевого фишинга.

Автомобильный бизнес Honda найденные проблемы не затронули.

В начале года тот же багхантер обнародовал уязвимость в системе управления глобальной цепочкой поставок Toyota. В веб-приложение GSPIMS был случайно привнесен бэкдор, позволявший получить доступ на чтение/запись к аккаунтам более 14 тыс. корпоративных пользователей, а также внутренним документам, проектам, комментариям и рейтингам поставщиков.

Российским сайтам готовят штрафы до 700 тысяч за иностранную аутентификацию

Госдума окончательно одобрила законопроект, который вводит новые штрафы для владельцев сайтов и онлайн-сервисов. Под удар попадают площадки, которые продолжают использовать зарубежные способы аутентификации пользователей вместо предусмотренных российским законодательством механизмов. Документ принят сразу во втором и третьем чтениях.

Согласно новым нормам, сайты и сервисы должны обеспечивать аутентификацию пользователей через российский номер телефона, портал «Госуслуги», Единую биометрическую систему или другие российские информационные системы, принадлежащие гражданам или компаниям РФ.

Если ресурс продолжит использовать для входа иностранные сервисы или зарубежную электронную почту в качестве механизма аутентификации, владельцу может грозить серьёзный штраф. Для юридических лиц он составит от 500 до 700 тысяч рублей. Для должностных лиц предусмотрены штрафы от 30 до 50 тысяч рублей, для граждан — от 10 до 20 тысяч рублей.

Закон также усиливает ответственность для владельцев интернет-платформ с рекомендательными алгоритмами. Штрафы предусмотрены за сбор информации о предпочтениях пользователей с нарушением законодательства, отсутствие уведомлений о работе рекомендательных систем, а также за непубликацию правил их использования и контактных данных для юридически значимых обращений.

Размер санкций здесь такой же — до 700 тысяч рублей для юридических лиц. При повторном нарушении штрафы могут вырасти до 1,4 млн рублей.

Отдельный блок поправок касается операторов связи. Для них вводится ответственность за нарушение правил взаимодействия с правоохранительными органами во время оперативно-разыскных мероприятий и мероприятий по обеспечению безопасности.

Если оператор нарушит установленный порядок или раскроет методы проведения таких мероприятий, компании может грозить штраф от 3 до 5 млн рублей.

За повторные нарушения наказание станет ещё жёстче. В этом случае может применяться оборотный штраф в размере до 3% годовой выручки. При этом минимальный порог санкций повышается с 1 млн до 10 млн рублей.

RSS: Новости на портале Anti-Malware.ru