Kritická chyba na webe USPS riskovala údaje miliónov používateľov

Šifrovacia ilustrácia

Americká poštová služba (USPS) opravila svoje rozbité API, ktoré odhalilo podrobnosti o účte 60 miliónov používateľov, ktorí sa zaregistrovali do služby „Informované doručenie“.

Informované doručenie je nová služba, ktorú poskytuje USPS a prostredníctvom ktorej môžu ľudia vidieť naskenované obrázky všetkých prichádzajúcich e-mailov. Fotografie sa odosielajú skôr, ako spoločnosť skutočne doručí poštu. Ľudia môžu sledovať svoje e-maily a vopred zistiť, či má dnes doraziť alebo nepríde nejaká dôležitá pošta.

Chyba zabezpečenia umožnila každému, kto má účet na U sps zobraziť podrobnosti o ďalších registrovaných používateľoch služby a dokonca zmeniť podrobnosti týchto používateľov.

Chyba bola najskôr odhalená a výskumný pracovník minulý rok, keď dokázal extrahovať údaje používateľov zasielaním požiadaviek na server. Vedec sa pokúsil niekoľkokrát skontaktovať s USPS, aby im povedal o bezpečnostnej chybe, ale všetko márne. Výskumník ukázal, že keď ste na servery poslali zástupné znaky, akceptoval väčšinu z nich a umožnil ostatným vidieť podrobnosti o držiteľoch účtov.

Bezpečnostný špecialista Brian Krebs uviedol, že ktorýkoľvek prihlásený používateľ USPS bol schopný vyhľadať podrobnosti o účte ostatných používateľov USPS. Podrobnosti o účte, ako napríklad číslo účtu, používateľské meno, e-mailová adresa, ID používateľa, telefónne číslo, údaje o poštovej kampani, adresa a ďalšie informácie, boli ľahko prístupné. V niektorých poliach však nebolo možné vykonať zmeny v údajoch, pretože k týmto údajom bol v súvislosti s týmito poľami pripojený krok overenia.

Podľa Krebsa došlo k obrovskej bezpečnostnej chybe USPS, pretože na získanie prístupu k údajom neboli potrebné žiadne skutočné hackerské znalosti. Ktokoľvek so základnými znalosťami na prezeranie a úpravu prvkov pomocou prehľadávača by mal prístup k podrobnostiam účtu. USPS uviedla, že doposiaľ nedostali nijaké dôkazy, ktoré by naznačovali, že došlo k zneužitiu akýchkoľvek podrobností účtu jeho používateľov.