Defecțiune critică în site-ul web al USPS a riscat date de milioane de utilizatori

Ilustrație de criptare

Serviciul Poștal al Statelor Unite (USPS) și-a reparat API-ul defect, care expusese detaliile contului a 60 de milioane de utilizatori care s-au înscris la serviciul „Livrare informată”.

Livrarea informată este un nou serviciu oferit de USPS, prin care oamenii pot vedea imagini scanate cu toate mesajele lor primite. Imaginile sunt trimise înainte ca poșta să fie efectiv livrată de companie. Oamenii își pot ține evidența e-mailurilor și pot afla în prealabil dacă urmează să ajungă vreun e-mail important astăzi sau nu.

Defectul de securitate a permis oricui are un cont la U sps pentru a vizualiza detaliile celorlalți utilizatori înregistrați ai serviciului și chiar a modifica detaliile acelor utilizatori.

Defectul a fost descoperit pentru prima dată de un cercetător anul trecut, când a reușit să extragă datele utilizatorilor prin trimiterea de cereri către server. Cercetătorul a încercat să contacteze USPS de mai multe ori pentru a le spune despre defectele de securitate, dar totul în zadar. Cercetătorul a arătat că, atunci când ați trimis metacaractere către servere, acesta a acceptat majoritatea acestora, permițând altora să vadă detaliile deținătorilor de cont.

Specialist în securitate Brian Krebs a spus că orice utilizator conectat al USPS a putut căuta detaliile contului altor utilizatori ai USPS. Detaliile contului, cum ar fi numărul de cont, numele de utilizator, adresa de e-mail, ID-ul de utilizator, numărul de telefon, datele campaniei de corespondență, adresa și alte informații au fost ușor accesibile. Cu toate acestea, nu s-au putut face modificări în unele câmpuri, deoarece a existat un pas de validare legat de acele câmpuri pentru a schimba datele.

Potrivit lui Krebs, a existat un defect uriaș de securitate din partea USPS, deoarece nu exista o expertiză reală în materie de hacking necesară pentru a obține acces la date. Oricine are cunoștințele de bază pentru a vizualiza și modifica elementele folosind un browser ar putea accesa detaliile contului. USPS a declarat că nu au primit până acum nicio dovadă care să sugereze că a existat o exploatare a detaliilor contului utilizatorilor săi.