בכל פעם שאני נתקל בזה, אני לא מפסיק לתהות איך ייתכן שחברה גדולה יכולה להיות כאלה חורי אבטחה.
באופן כללי, אם אתה חושב שמוכר משהו עם משלוח אוויטו, לא ניתן לגנוב את הכסף שלך, אתה טועה.
זה יצא פנומנלי: לאביטו יש את היכולת לשנות את כתובת הדוא"ל שלו בטלפון. כל שעליך לעשות הוא להתקשר למספר המקושר ולהודיע לך שברצונך לשנות את הדואר האלקטרוני שלך.
כתבתי על האפשרות הטכנית לשנות את המספר בשיחה לפני שלוש שנים (https://ammo1.livejournal.com/996419.html ). אחרי הסיפור עם Navalny, כולם ידעו על הזדמנות כזו, למעט התמיכה של אביטו.
כל נוכל קטן יכול להשתמש ביישום זיוף מספר הטלפון ולשנות את הדואר האלקטרוני בחשבון Avito שלך. ולאחר ששינה את הדוא"ל, הוא יוכל לשנות את הסיסמה באמצעות פונקציית שחזור הסיסמה. יחד עם זאת, לא נשלחות התראות לדוא"ל הישן (האמיתי).
בעת משלוח סחורה למשלוח אביטו, יש לציין על גבי תווית החבילה את מספר הטלפון של המוכר המשויך לחשבון אביטו. מספר זה ניתן לראות על ידי אנשים רבים, מהמקלט בנקודת Boxberry או בסניף הדואר הרוסי וכלה בכל מי שמשתתף במשלוח. בכל שלב, מספיק לצלם תמונה אחת של החבילה בכדי לקבל מספר טלפון. ואז הכל פשוט: הם מחליפים את הדואר האלקטרוני מיד, מחכים שהקונה יאסוף את החבילה, מיד משנה את הסיסמה, נכנסים לחשבון ומושכים את הכסף לכרטיס שלו.
העובדה שאנשים מחוברים לחשבון שלהם ממדינה אחרת לא מפריעה בכלל לאביטו, אבל אזהרה כזו מגיעה למייל של מישהו אחר.
Avito גם לא טורח כלל שכל המניפולציות עם החשבון מתרחשות ברגע שבו Avito נמסר.
באמצעות מכונה פשוטה זו גנבו התוקפים 119,000 רובל למסירה אחת בלבד, אך הסיפור הזה בהחלט אינו ייחודי.
הקורבן, ערך חקירה משלו ותיאר את כל הסיפור בפירוט כאן .
אני מאוד רוצה לקוות שאביטו ישים לב למצב זה ולפחות יוסיף הודעה למייל הישן כשתנסה לשנות את הדואר האלקטרוני בטלפון, ולאשר פעולה זו באמצעות SMS.
וזה יהיה נכון גם אם אביטו יחזיר את כל ההפסדים שנפגעו מחור האבטחה ב"עסקה בטוחה למסירה באוויטו ".
© 2021, אלכסיי נדז'ין
מזה עשר שנים אני כותב כל יום על טכנולוגיה, הנחות, מקומות מעניינים ואירועים. קרא את הבלוג שלי באתר ammo1.ru, ב LJ, זן, מירטסן, מִברָק .
הפרויקטים שלי:
Lamptest.ru. אני בודק מנורות לד ועוזר להבין אילו הן טובות ואילו לא כל כך טובות.
Elerus.ru. אני אוסף מידע על מכשירים אלקטרוניים מקומיים לשימוש אישי ומשתף אותו.
ניתן ליצור איתי קשר בטלגרם @ ammo1 ובדואר [email protected] .