tgoop.com/codeby_sec/8937
Last Update:
Представьте, вы доверяете свои самые личные данные огромной компании, вроде Verizon. Ну, знаете, звонки, номера телефонов, где вы находитесь... Вроде бы все надежно. Но вот незадача: даже у таких гигантов случаются промахи. Обычная ошибка в коде может выставить всю вашу конфиденциальную информацию на всеобщее обозрение. Именно это и произошло с Verizon - гигантом телекоммуникационного рынка.
Удивительно, но для доступа к данным хакерам даже не потребовались сложные атаки или вирусы. Уязвимость в API Verizon позволяла получить информацию, просто подставляя в запрос случайные ID пользователей. Это как если бы в банке давали доступ к счету любого клиента, кто правильно угадал номер карты.
День 1
- Исследователь Джин Ю обнаруживает аномалии в API Verizon Business
- Первые тесты подтверждают возможность доступа к чужим данным
- Формируется технический отчет с доказательствами
День 2
- Официальное уведомление Verizon через платформу HackerOne
- Начало внутреннего расследования в Verizon
День 3
- Verizon подтверждает критичность уязвимости
- Срочное созыво crisis-команды
- Разработка временного "заглушки" для API
День 4
- Выпуск первого патча (версия API 3.4.1)
- Частичное ограничение функционала клиентского портала
- Мониторинг подозрительной активности
День 5-6
- Полный аудит системы авторизации
- Развертывание дополнительных механизмов верификации
- Окончательное устранение уязвимости
День 7
- Внутренний отчет о причинах инцидента:
- Отсутствие rate-limiting на критическом endpoint
- Ошибка в логике проверки сессионных токенов
- Устаревшая система логгирования запросов
Последействия:
- В течение месяца Verizon внедрила новую систему мониторинга API-запросов
- Обновлены политики доступа для всех бизнес-клиентов
- Запущен внутренний bug bounty-программ для сотрудников
"Это классический пример того, как пренебрежение базовыми принципами авторизации может привести к катастрофическим последствиям", - отмечает Джеймс Райт, эксперт по кибербезопасности. "Особенно тревожно, что уязвимость существовала в инфраструктуре компании, которая позиционирует себя как лидер в области защиты данных".
Verizon пока не сообщает, были ли реальные случаи использования этой уязвимости. Но учитывая её простоту, вероятность такого сценария крайне высока.
