Poważne naruszenie bezpieczeństwa wykryto na oficjalnej stronie systemu PayPal. Jak już wiadomo, błąd ten został "aktywnie" wykorzystany przez cyber-przestępców a jego ofiarą padły setki tysięcy użytkowników.
Atak został idealnie zaplanowany. Na oficjalnych serwerach PayPal oraz na oficjalnej i autoryzowanej stronie WWW tegoż systemu włamywacze spreparowali pewne istotne treści oraz linki za pomocą ataku typu XSS. Dodajmy, iż certyfikat SSL zabezpieczający stronę WWW jest jak najbardziej poprawny, gdyż jest to oficjalna strona systemu PayPal (zmodyfikowana tylko co do treści i formularzy).
Ofiara, po wejściu na stronę internetową PayPal widzi wiadomość następującej treści:
Your account is currently disabled because we think it has been accessed by a third party. You will now be redirected to Resolution Center.
Po przekierowaniu na już fałszywy serwer ofiara trafia na stronę logowania systemu PayPal, a ponieważ uprzednie certyfikaty oraz domena pokrywały się z tymi prawdziwymi (de fakto były prawdziwe), to ofiara nawet nie podejrzewa, iż PayPal może przekierować ją na zfałszowany serwer (bo i w jakim celu?).
Po zalogowaniu się ofiary, użyte ID oraz hasło są wysyłane do włamywaczy. Użytkownik jest także proszony o podanie takich danych osobowych jak m. in. numer ubezpieczenia, numery kart kredytowych oraz PINy.
Serwer, który przechowuje zfałszowaną stronę oraz wyłudzone dane osobowe znajduje się w Korei.
Luka w PayPal
Gregg - Saturday, 17 June 2006, 15:41 Źródło: Hacking.pl
Komentarze (0)
Uprzejmie prosimy o przestrzeganie netykiety przy dodawaniu komentarzy. Redakcja CDRinfo.pl nie odpowiada za treść komentarzy, które publikują użytkownicy. Aby zmienic swoj avatar zarejestruj sie w serwisie www.gravatar.com.
Jak dobrze, ¿e ja siê od takich rzeczy trzymam z daleka 🙂
pierwsze co bym zrobil to wstrzymal sie z transakcja po tym komunikacie.
przydaloby sie wiecej wyrokow po 25 lat za takie cos. u nas pewnie dostaliby po 2 latka, bo nikogo nie zabili :>.
Paypal to jest jeden wielki szajs. Ciekawe to korzysta jeszcze z tego badziewia.
@chris996
caly swiat, ale rozumni ludzie :P.
No coz wszedzie trzeba uwazac. Pozatym przy przekierowaniu pewnie zobaczylbym zmiane adresu;)
w piatek placilem przez pay pal ( 120$ ), ale karta jest ubezpieczone wiec , no problema
"Zfa³szowan±" pisze siê trochê inaczej. "Sfa³szowan±".
pamiêtajcie tylko o jednym, ¿e wiêkszo¶æ banków niestety nie ubezpiecza kart od transakcji w internecie 🙁
@daluc
w paypalu masz jako taka ochrone. poza tym zawsze mozesz skorzystac z charge backa kredytowki