محققان امنیت سایبری جزئیات آسیب‌پذیری تصاحب حساب کاربری را در یک سرویس آنلاین محبوب سفر برای رزرو هتل و اجاره خودرو فاش کردند که اکنون رفع شده است. شرکت امنیت API به نام Salt Labs اعلام کرد که با بهره‌برداری از این نقص، مهاجمان می‌توانند دسترسی غیرمجاز به حساب هر کاربری در سیستم پیدا کنند و به طور مؤثر قربانی را جعل هویت کرده و اقدامات مختلفی از جمله رزرو هتل و اجاره خودرو با استفاده از امتیازات وفاداری هواپیمایی قربانی، لغو یا ویرایش اطلاعات رزرو انجام دهند.
بهره‌برداری موفق از این آسیب‌پذیری می‌توانست میلیون‌ها کاربر هواپیمایی آنلاین را در معرض خطر قرار دهد. روش حمله شامل ارسال لینک مخصوص طراحی شده از طریق کانال‌های توزیع استاندارد مانند ایمیل، پیامک یا وب‌سایت‌های تحت کنترل مهاجم است که کلیک روی آن برای ربودن کنترل حساب قربانی کافی است. مهاجمان با دستکاری پارامتر “tr_returnUrl” پاسخ احراز هویت را به سایت تحت کنترل خود هدایت می‌کنند و از آنجا که لینک دستکاری شده از دامنه مشتری مشروع استفاده می‌کند، تشخیص این حمله از طریق روش‌های بازرسی دامنه استاندارد دشوار است.
کلمات کلیدی : آسیب‌پذیری سایبری, تصاحب حساب کاربری, امنیت API, رزرو هتل آنلاین, جعل هویت دیجیتال, حمله فیشینگ
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.