Hackerek bejutott az összes adat GearBest felhasználók (Frissítve)

A kutatócsoport felfedezett egy súlyos biztonsági rés VPNMentor adatbázisok online áruház GearBest. A szakértők szerint a védelmi rendszer az ügyfél-információk egyáltalán nem, amit mondanak neki részletesen nagy jelentés.

Hackerek VPNMentor teszt védelmére GearBest, könnyen bejutott az ügyfél nevét, a útlevél adatait, jelszavait, számlák, címek szállítások, e-mail, a lakcímet, telefonszámot, az elemek listáját vásárolt, és még sok más nagyon érzékeny információkat.

Ezeknek az adatoknak a tesztelők voltak képesek belépni ugyanúgy, mintha az övék, és a sok beszámoló. A támadók ezután módosíthatja minden személyes adatot és, például egyszerűen a cím megváltoztatása a szállítások minden megrendelést.

Veszít így vásárlás vagy számla - a kisebbik rossznak. További veszélyt jelent, ha a támadó megpróbálja használni a megszerzett személyes adatokat. Oroszországban ezt adathalmazt elég, hogy hozzáférjen oldalak, mint a kormányzati szolgáltatások, banki alkalmazások, egészségügyi információ, és így tovább.

Amellett, hogy ezek a felhasználók, hackerek elérte GearBest belső adatkezelési rendszerrel és a cég Globalegrow, tulajdonosa a boltban. Ez a szint a hozzáférés megkönnyíti manipulálni üzleti adatok tulajdonságainak módosítása bázisok és még kapcsolja ki a szerver teljesen.

Hackerek VPNMentor megpróbált kapcsolatba lépni képviselői GearBest és Globalegrow, hogy tájékoztassa őket a problémákat. De abban a pillanatban nem kapott választ.

frissíteni:

Képviselői GearBest számolt be, hogy rögtön a jelentés VPNMentor belső felülvizsgálat indult. Ez azt mutatta, hogy a fő adatbázis ügyfél-információk és a tranzakciók teljes mértékben védi az összes szükséges titkosítást. Azonban néhány bizalmas információ átmenetileg tárolt külső forrásból, de tényleg nem volt védett.

Külső források tárolására használt adatok GearBest növeljék a szerver hatékonyság és a túlterhelés megelőzésére. Minden olyan információt nem tárolják ott több mint 3 napig, majd automatikusan törlődik. A jogosulatlan hozzáférés, az ilyen adatokat védi egy erős tűzfal, de mivel március 1, 2019 voltak kikapcsolta tévesen az egyik alkalmazott.

Minden megrendelést március 1-jétől ismételten ellenőrizni, és a jelszavakat az újonnan létrehozott fiókok kikapcsolva. Minden felhasználó, akit talán érjen, levelet küldött elmagyarázza a helyzetet, és a feltételek újbóli aktiválásához. GearBest képviselői elnézését az esetet, és biztosította, hogy továbbra is javítani fogja a biztonsági rendszer veszélyeztetése nélkül az ügyfelek adatait.