रूसी रेलवे के भुगतान गेटवे पर लगभग 70,000 कार्डों के डेटा से समझौता किया गया था

हार्टबल की दुनिया से एक और दुखद समाचार, जो कल ज्ञात हुआ।











रूसी रेलवे की वेबसाइट पर टिकट खरीदने के लिए उपयोग किए जाने वाले कार्ड डेटा को इस सरल कारण से समझौता किया गया था कि हार्टबल भेद्यता केवल एक हफ्ते बाद (04/15/2013) पर बंद हो गई थी । इस समय, सभी अज्ञात हमलावर सनसनीखेज भेद्यता का लाभ उठाते हुए साइट से डेटा चोरी कर सकते हैं।



समस्या पर ध्यान आकर्षित करने और उपयोगकर्ताओं को अज्ञात हैकर्स के साथ अपने कार्ड को फिर से जारी करने के लिए प्रेरित करने के लिए, साइट sos-rzd.com बनाई गई, जिसने 14 अप्रैल के लिए भुगतान डेटा का एक डंप पोस्ट किया। प्रविष्टियों की कुल संख्या 10532 है, जो हमें भेद्यता के क्षण से लगभग 70 हजार कार्डों के बारे में बात करने की अनुमति देता है। किसी कारण से, लेखक खुद आंकड़ा 200 हजार कहते हैं।



इस स्थिति में, रूसी रेलवे और VTB24 बैंक की प्रतिक्रिया स्वयं अजीब लगती है। वे भेद्यता से पूरी तरह से इनकार करते हैं और फ़िशिंग गतिविधि की साइट पर आरोप लगाते हैं।



यहां आरबीसी वेबसाइट से VTB24 प्रेस सेवा की एक टिप्पणी है

“भुगतान गेटवे पर कोई हमला नहीं किया गया था जिसके माध्यम से वेबसाइट www.rzd.ru पर टिकट खरीदे जाते हैं। गेटवे भुगतान कार्ड डेटा सुरक्षा मानक के नवीनतम संस्करण द्वारा संरक्षित है। सभी ग्राहक जो इसके माध्यम से लेन-देन करते हैं, उन्हें भुगतान की पूर्ण सुरक्षा की गारंटी दी जाती है, ”क्रेडिट संगठन की प्रेस सेवा के प्रवक्ता ने कहा। बैंक में आरबीसी का स्रोत निश्चित है: साइट इसलिए बनाई गई थी ताकि उसके आगंतुक अपने कार्ड का विवरण वहां छोड़ दें।

हालाँकि, यह कथन सत्य नहीं है। रूसी रेलवे की वेबसाइट पर एक भेद्यता थी, लेखक ने इस विषय में इस बारे में लिखा था कि एक साधारण उपयोगकर्ता के लिए हार्टलेस चेहरा क्या है? , वह पुष्टि करता है कि वीटीबी 24 गेटवे और रूसी रेलवे की वेबसाइट पर उसके द्वारा भेद्यता की खोज की गई थी।



प्रेस सेवा से एक और टिप्पणी

यदि आप साइट को ध्यान से देखते हैं, तो यह अपने आप में कई प्रश्न उठाता है: उपनामों के बजाय, संख्याओं, संक्षिप्ताक्षर का उपयोग किया जाता है, रूसी या अधूरे नाम हैं, जो बैंक कार्ड के मामले में नहीं हो सकते हैं। ऐसा लग रहा है कि यह सिर्फ एक नकली है।

साथ ही एक बहुत ही अजीब बयान। भेद्यता आपको क्रमशः सर्वर मेमोरी से डेटा प्राप्त करने की अनुमति देती है, यदि उपयोगकर्ता अधूरा या गलत डेटा दर्ज करता है, तो वे डंप में समान होंगे। हालांकि, अधिकांश डेटा की प्रामाणिकता उपयोगकर्ताओं द्वारा स्वयं सत्यापित की जाती है। उदाहरण के लिए, फ्लेक्सिस के निदेशकों में से एक, अलेक्सी कोप्पलोव ने पुष्टि की कि उनका डेटा इस सूची में है और कार्ड की एक तस्वीर + इलेक्ट्रॉनिक टिकट का एक स्क्रीनशॉट देता है।











डेटा की प्रामाणिकता की पुष्टि अप्रत्यक्ष रूप से रॉकसेटबैंक के सीईओ विक्टर लिसेंको द्वारा की गई है, जो सूची से सभी कार्डों को फिर से जारी करने का वादा करते हैं।



यह फ़िशिंग गतिविधि के साथ अभिसरण नहीं करता है। साइट कार्ड संख्या के 16 अंकों में से केवल 10 की जांच करने की पेशकश करती है। और सबसे अविश्वसनीय के लिए भी, यह डेटाबेस को एक फ़ाइल के रूप में डाउनलोड करने और स्थानीय रूप से जांच करने का अवसर देता है।



इसके अलावा, ऐसा लगता है कि साइट के खिलाफ एक मीडिया अभियान शुरू किया गया है। आरबीसी, सिक्योरिटीलैब, जस्टमीडिया और अन्य जैसे बड़े साइट इस मुद्दे को समझे बिना, VTB24 की स्थिति पर कब्जा कर लेते हैं और साइट को फ़िशिंग कहते हैं।



यह दुख की बात है कि बड़ी रूसी कंपनियों ने समस्या को पहचानने और इसे हल करने के लिए संयुक्त रूप से कदम उठाने के बजाय, यह दिखावा किया कि कुछ भी नहीं हुआ, समानांतर में, आईटी पेशेवरों की देखभाल करने के लिए मुंह बंद करने की कोशिश की गई।