Svaki put kad se susretnem s tim, ne prestajem se pitati kako je moguće da velika tvrtka može imati TAKVE sigurnosne rupe.
Općenito, ako mislite da prodajom nečega isporukom Avito, vaš novac ne može biti ukraden, varate se.
Ispalo je fenomenalno: Avito ima mogućnost telefonske promjene adrese e-pošte. Sve što trebate je nazvati s povezanog broja i obavijestiti vas da želite promijeniti svoj e-mail.
O tehničkoj mogućnosti promjene broja napisao sam prilikom poziva prije tri godine (https://ammo1.livejournal.com/996419.html ). Nakon priče s Navalnyjem, svi su znali za takvu priliku, osim Avitove podrške.
Bilo koji sitni prevarant može koristiti aplikaciju za podvaljivanje telefonskog broja i promijeniti e-poštu na vašem Avito računu. A nakon što je promijenio e-poštu, moći će promijeniti lozinku pomoću funkcije oporavka lozinke. Istodobno se na staru (stvarnu) e-poštu ne šalju obavijesti.
Pri slanju robe dostavom Avito, na naljepnici paketa mora biti naveden telefonski broj prodavatelja povezan s Avito računom. Ovaj broj mogu vidjeti mnogi ljudi, počevši od prijemnika na mjestu Boxberry ili kod ruske pošte i završavajući sa svima koji sudjeluju u dostavi. U bilo kojoj je fazi dovoljno napraviti jednu fotografiju paketa da biste dobili telefonski broj. A onda je sve jednostavno: odmah mijenjaju e-mail, čekaju da kupac preuzme paket, odmah mijenjaju lozinku, ulaze na račun i podižu novac na svoju karticu.
Činjenica da su ljudi prijavljeni na svoj račun iz druge države uopće ne smeta Avitu, ali takvo upozorenje dolazi na tuđi e-mail.
Avito također uopće ne smeta što se sve manipulacije s računom događaju u trenutku isporuke Avita.
Koristeći ovu jednostavnu shemu, napadači su ukrali 119.000 rubalja za samo jednu isporuku, ali ova priča zasigurno nije jedinstvena.
Žrtva je provela vlastitu istragu i detaljno opisala cijelu priču ovdje .
Jako bih se nadao da će Avito obratiti pažnju na ovu situaciju i barem dodati obavijest na staru e-poštu kada pokušava promijeniti e-poštu telefonom i potvrditi ovu radnju SMS-om.
A također će biti točno ako Avito nadoknadi sve gubitke pretrpljene sigurnosnom rupom u "Sigurnoj ponudi Avito-isporuke".
© 2021, Aleksej Nadjožin
Deset godina svakodnevno pišem o tehnologiji, popustima, mjestima od interesa i događajima. Pročitajte moj blog na web mjestu ammo1.ru, u LJ, Zen, Mirtesen, Telegram .
Moji projekti:
Lamptest.ru. Testiram LED svjetiljke i pomažem shvatiti koje su dobre, a koje nisu tako dobre.
Elerus.ru. Prikupljam podatke o domaćim elektroničkim uređajima za osobnu upotrebu i dijelim ih.
Možete me kontaktirati putem Telegrama @ ammo1 i poštom [email protected] .