Katru reizi, kad es to sastopu, es nebeidzu brīnīties, kā tas ir iespējams, ka lielam uzņēmumam var būt TĀDAS drošības caurumi.
Kopumā, ja jūs domājat, ka kaut ko pārdodot ar Avito piegādi, jūsu naudu nevar nozagt, jūs kļūdāties.
Tas izrādījās fenomenāls: Avito ir iespēja mainīt savu e-pasta adresi pa tālruni. Viss, kas jums jādara, ir piezvanīt no saistītā numura un paziņot, ka vēlaties mainīt savu e-pastu.
Es rakstīju par tehnisko iespēju mainīt numuru, veicot zvanu pirms trim gadiem (https://ammo1.livejournal.com/996419.html ). Pēc stāsta ar Navaļniju visi zināja par šādu iespēju, izņemot Avito atbalstu.
Jebkurš sīks blēdis var izmantot tālruņa numuru izkrāpšanas programmu un mainīt e-pastu savā Avito kontā. Un, mainījis e-pastu, viņš varēs nomainīt paroli, izmantojot paroles atkopšanas funkciju. Tajā pašā laikā uz veco (īsto) e-pastu netiek nosūtīti paziņojumi.
Sūtot preces ar Avito piegādi, uz pakas etiķetes jānorāda pārdevēja tālruņa numurs, kas saistīts ar Avito kontu. Šo numuru var redzēt daudzi cilvēki, sākot no uztvērēja Boxberry punktā vai Krievijas pasta nodaļā un beidzot ar visiem, kas piedalās piegādē. Jebkurā posmā pietiek ar to, lai nofotografētu iepakojumu, lai iegūtu tālruņa numuru. Un tad viss ir vienkārši: viņi nekavējoties maina e-pastu, gaida, kamēr pircējs paņems paku, nekavējoties nomaina paroli, ieiet kontā un izņem naudu savā kartē.
Tas, ka cilvēki savā kontā ir pieteikušies no citas valsts, Avito nemaz neuztrauc, taču šāds brīdinājums nāk uz kāda cita e-pastu.
Avito arī nemaz neuztraucas, ka visas manipulācijas ar kontu notiek brīdī, kad Avito tiek piegādāts.
Izmantojot šo vienkāršo mahināciju, uzbrucēji nozaga 119 000 rubļu tikai par vienu piegādi, taču šis stāsts noteikti nav unikāls.
Upuris pats veica izmeklēšanu un sīki aprakstīja visu stāstu šeit .
Es ļoti gribētu cerēt, ka Avito pievērsīs uzmanību šai situācijai un vismaz pievienos paziņojumu vecajam e-pastam, mēģinot mainīt e-pastu pa tālruni, un apstiprinās šo darbību ar īsziņu.
Tas būs pareizi arī tad, ja Avito atlīdzinās visus zaudējumus, kas cietuši no drošības spraugas "Avito-Delivery Safe Deal".
© 2021, Aleksejs Nadjožins
Desmit gadus es katru dienu rakstīju par tehnoloģijām, atlaidēm, apskates vietām un notikumiem. Lasiet manu emuāru vietnē ammo1.ru, iekš LJ, Dzen, Mirtesen, Telegramma .
Mani projekti:
Lamptest.ru. Es testēju LED lampas un palīdzu saprast, kuras ir labas un kuras ne tik labas.
Elerus.ru. Es vācu informāciju par sadzīves elektroniskām ierīcēm personīgai lietošanai un dalos ar tām.
Jūs varat ar mani sazināties telegrammā @ ammo1 un pa pastu [email protected] .