Венгерская полиция арестовала исследователя за сообщение об обнаруженной уязвимости
Транспортное управление Будапешта (Венгрия) обратилось в полицию с жалобой на исследователя, сообщившего об обнаружении критической уязвимости в системе оплаты проездных билетов. «Хакером» в этой истории оказался 18-летний юноша, обнаруживший брешь на web-сайте управления и сообщивший об ошибке администраторам сайта.
Уязвимость заключалась в том, что пользователь мог изменить стоимость билета перед покупкой и приобрести билет за любую сумму. Для этого нужно было лишь изменить HTML форму на странице браузера перед отправкой данных на сервер.
Исследователю удалось приобрести проездной билет стоимостью в 9500 форинтов (около 30 евро) всего за 50 форинтов. После приобретения билета исследователь сообщил об этом администраторам сайта и получил сообщение, что его билет аннулирован.
Когда история получила огласку в прессе и начался разбор уязвимостей системы онлайн-билетов, разработчик web-приложения T-Systems Hungary (дочерняя компания Deutsche Telekom) совместно с транспортным управлением Будапешта обратились в полицию и исследователь, обнаруживший уязвимость, был арестован ночью.
Бреши, которые обсуждались различными исследователями безопасности, предшествующие аресту:
- Хранения пароля в открытом виде в базе данных
- Доступ к личным данным других пользователей системы путем изменения URL
- Пароль администратора системы - «adminadmin»
- Копирование чужих билетов
Полиция отпустила исследователя через несколько часов после ареста, а официальная страница транспортного управления Будапешта в Facebook получила 45 тыс. дизлайков (1 звезда) от пользователей сети.
К слову, стоимость месячной поддержки системы составляет 80 тыс. евро, а компания-разработчик T-Systems Hungary была официальным спонсором хакерских соревнований.
Читайте также
- Ошибка в API Facebook предоставляла доступ к фото 6,8 млн пользователей
- Одного ноутбука оказалось достаточно для компрометации всей корпоративной сети
- Депутаты Госдумы разработали план по обеспечению работы Рунета на случай отключения от Сети
- Морские суда часто подвергаются кибератакам
- 25 декабря состоится встреча сообщества специалистов по кибербезопасности АСУ ТП / RUSCADASEC
- Уязвимость в приложении Logitech позволяла удаленно инициировать нажатие клавиш