קונים באתר המכירות המקוונות ebay? שימו לב: חברת האבטחה צ'ק פוינט גילתה פירצת אבטחה חמורה באתר, המאפשרת לפושעי סייבר להפיץ קמפייני התחזות ותוכנות זדוניות בין לקוחות החברה המבצעים רכישה.
המצב הרגיש פורסם אתמול בבלוג רשמי של צ'ק פוינט, שם אפשר לראות הדגמה של פעולת פצחנים (האקרים) על אתר ebay. על פי חוקרי צ'ק פוינט, החשיפה מאפשרת לתוקפים לעקוף את אימות הקוד ולשלוט בו מרחוק, ובכך להריץ התקפות ממוקדות על המשתמשים. תוקף זדוני יכול לנצל את הפירצה ולהפנות משתמשים לדף לגיטימי של חנות ב־ebay המכיל קוד זדוני.
בצ'ק פוינט סבורים כי אם פירצה זו לא תיסגר, לקוחות ebay ימשיכו להיות חשופים להתקפות דיוג (פישינג), לגניבת נתונים אישיים ולתוכנות זדוניות. צ'ק פוינט הודיעה ל־ebay על פירצת האבטחה ב־15 בדצמבר 2015, אולם ב־16 בינואר 2016 טענה ebay שהיא אינה מעוניינת לתקן פירצה זו. את הפירצה גילה לאחרונה רומן זאיקין, חוקר אבטחת מידע של צ'ק פוינט. כדי לנצל את הפירצה, כל מה שהתוקף צריך לעשות הוא ליצור חנות באתר ebay ומתוכה להזריק את הקוד הזדוני. זוהי הפעם השנייה שבה מותקף ebay. במאי 2014 הודיעה החברה כי שרתיה נפרצו וכי נגנב מידע על לקוחות, אם כי לא פיננסי.
גיל שויד, מייסד ומנכ"ל צ'ק פוינט // צילום: גדעון מרקוביץ'
מחברת ebay נמסר: "כחברה אנו מחויבים לספק מקום מסחר בטוח ומאובטח למיליוני הלקוחות שלנו מסביב לעולם. אנו מתייחסים מאוד ברצינות לדיווחים על בעיות בטיחות, ועובדים מהר כדי להעריך אותם במסגרת תשתית האבטחה שלנו. אנו מתאימים בקביעות את מערכות האבטחה ושומרים על מערכת אחראית, שבה אנו חוברים לחוקרים המתייחסים לבעיות אלו".
נזכיר כי בתחילת אוגוסט גילתה צ'ק פוינט פירצת אבטחה באפליקציית ווטסאפ. כסיף דקל, חוקר אבטחה בחברה, גילה שפצחנים יכולים לשלוח למשתמשים קובץ אנשי קשר (vCard) ולהשתיל בתוכו תכנים זדוניים שיופעלו אוטומטית עם קבלת קובץ איש הקשר בגירסת הדפדפן.
צ'ק פוינט גם מצאה שווטסאפ כלל אינה בודקת את הפורמט ואת המבנה של קובץ ה־vCard, כך שאפשר בתיאוריה לשנות סיומת של קובץ תוכנה (exe.) קיים לסיומת הקובץ המתאימה, ולשלוח אותו למשתמש אחר כאילו היה קובץ איש קשר. המשתמש שמקבל את הקובץ יכול ללחוץ על הכפתור להורדה ולפתיחה של התוכנה, בלי לדעת שמדובר בעצם בקובץ exe. ולא באיש קשר. צ'קפוינט דיווחה לפייסבוק, בעלת ווטסאפ, על הפירצה ב־21 באוגוסט והיא תוקנה בתוך כמה ימים.
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו