Обеспечение информационной безопасности. Кража данных из Citigroup стала результатом простейшей уязвимости

Если информация, которую газета NYT получила о взломе Citigroup, правдива и вторжение стало возможным благодаря эксплуатации распространенной уязвимости, даже включенной в список OWASP-10 ведущих рисков для веб-приложений, возникает вопрос - как это возможно, что крупнейшая в мире финансовая компания не имеет экспертов безопасности для устранения данной уязвимости.

Обсуждаемая уязвимость называется insecure direct object reference. Она возникает, когда конфиденциальная информация открыта для пользователей, поскольку разработчики не последовали здравому смыслу и не скрыли ее.

В случае с Citigroup, URL веб-сайта, который появляется, после того как пользователь успешно вошел в систему сайта для обладателей кредитных карт, введя свой логин и пароль, содержал номер счета пользователя.

Как только злоумышленники осознали это – вероятно один из них имел счет в Citigroup – дело оставалось лишь за написанием скрипта, который будет генерировать случайные числа в URL и при каждом успешном получении доступа к аккаунту злоумышленники получали возможность собирать содержащуюся в нем информацию.

Если это правда, есть еще одна вещь, которая не дает покоя – почему эта "бомбардировка" сайта посредством запросов с поддельными комбинациями чисел не была никем замечена при столь частых ее повторах? Почему там не было механизма, который бы защищал от такого рода действий?

Но возможно, в данном случае, они не могли обнаружить махинации? Может быть скрипт был написан таким образом, что запросы были нерегулярными и возникали в течение большого периода времени? Можно предположить, что злоумышленники должны пытаться заполучить как можно больше информации за кратчайший возможный срок, прежде чем атака будет обнаружена, но никогда не узнаешь, как это происходит на самом деле.

В общем, можем ли мы теперь просто прекратить называть это "сложной атакой"?

22 июня, 2011

Безопасникам

Кража данных из Citigroup стала результатом простейшей уязвимости

Бразильский футболист Неймар стал приманкой для распространения банковского трояна

Зловреды, крадущие финансовые данные, на Amazon Web Services

Хотели как безопаснее, получилось как всегда

Взлом Citigroup привел к утечке данных клиентов банка

Американским банкам разрешили не возмещать ущерб клиентам, пострадавшим от хакеров

The New York Times: банкоматы Сбербанка услышат мошенников

Во Владимире банкоматовая эпидемия

\"Лаборатория Касперского\": в облачных сервисах Amazon размещаются хакерские программы

Последнее слово подсудимого прозвучало, как речь оскаровского лауреата

Читалка

Вступил в силу ГОСТ Р 71207-2024 «Защита информации. Разработка безопасного программного обеспечения. Статический анализ программного обеспечения. Общие требования».

Вступил в силу ГОСТ Р 71207-2024 «Защита информации. Разработка безопасного программного обеспечения. Статический анализ программного обеспечения. Общие требования».

Вступил в силу ГОСТ Р 71206-2024 «Защита информации. Разработка безопасного программного обеспечения. Безопасный компилятор языков С/С++. Общие требования».

Вступил в силу ГОСТ Р 71206-2024 «Защита информации. Разработка безопасного программного обеспечения. Безопасный компилятор языков С/С++. Общие требования».

ФСТЭК России опубликованы «Сведения о принятых национальных и международных стандартах за I квартал 2024 года»

ФСТЭК России опубликованы «Сведения о принятых национальных и международных стандартах за I квартал 2024 года»

ФСТЭК России опубликован проект национального стандарта ГОСТ Р «Защита информации. Формальная модель управления доступом.

ФСТЭК России опубликован проект национального стандарта ГОСТ Р «Защита информации. Формальная модель управления доступом.

ФСТЭК России опубликован проект национального стандарта ГОСТ Р «Защита информации. Формальная модель управления доступом. Часть 3. Рекомендации по разработке»

ФСТЭК России опубликован проект национального стандарта ГОСТ Р «Защита информации. Формальная модель управления доступом. Часть 3. Рекомендации по разработке»

Календарь мероприятий

Наши медиауслуги

Новый номер

Подписаться на новости BIS Journal / Медиа группы Авангард

Стать автором BIS Journal