פרטים רגישים נחשפו: חוקרים ישראליים מצאו פרצת אבטחה חמורה ב-Gearbest

מחדל אבטחה חמור ב-Gearbest הוביל לכך שמידע שאמור להיות מוצפן, כמו פרטי הזמנות ואמצעי תשלום, היה חשוף ונגיש די בקלות

מקור: Gearbest

Gearbest היא מעין גרסה מצומצמת של אליאקספרס, עם היצע של רחב של מוצרי טכנולוגיה, אבל ממש לא רק. אלא שצוות חוקרים ישראלים, בהובלת ״ההאקר הידידותי״ נועם רותם, חשפו כי מאגר נתונים ענק עם יותר ממיליון רשומות הכולל פרטים אישיים על הלקוחות והמוצרים שהם רכשו היה חשוף ונגיש בקלות להאקרים, שיכלו לנצל את הפרצה לרעה.

מחדל בעייתי שנמנע?

דרך Gearbest ניתן לרכוש גאדג׳טים ומכשירים אלקטרוניים של יצרניות סינית מוכרות יותר או פחות, כשבין היתר תמצאו שם מותגים פופולארים כמו שיאומי, וואן פלוס ו-Huawei. לצד אלו, תמצאו בפלטפורמה גם צעצועים, פרטי לבוש והנעלה, חומרי ניקוי – ובקיצור, כמעט הכל, במחירים ידידותיים למדי. מדובר באתר ותיק שגם אנחנו המלצנו עליו לא פעם, אבל אם להסתמך על המחקר החדש שפורסם – מוטב שתשנו את הסיסמא שלכם בו, ואולי תחשבו פעמיים על הרכישה הבאה שלכם, עד שדברים יתבהרו.

חוקרים ב-vpnMentor חשפו כי מסד הנתונים של גירבסט, כמו גם זה של אחיותיו האופנתיות יותר בהן ״Zaful״ ו-״Dresslily״, לא מאובטחים כפי שהם צריכים להיות. החוקרים הצליחו לחדור בלי יותר מידי מאמץ למאגר הכללי של השירות, הכולל מידע על הזמנות, תשלומים ופרטי המשתמשים. אם צוללים קצת פנימה, המשמעות היא שמידע על המשתמשים, הרוכשים, הכולל את שמם המלא, המוצרים שרכשו, כתובת מגורים, כתובת אימייל, מספר טלפון, שנת לידה, ואפילו מספר דרכון במקרים מסוימים – היה חשוף.

Insider

פרט קריטי נוסף שלא היה מוצפן כראוי הן סיסמאות המשתמשים, מה שאפשר לחוקרים להתחבר לחשבונות שלא שלהם, לצפות בהזמנות עבר ועתיד, כמות נקודות שנצברו, לשנות את הסיסמא או את כתובת השילוח. כמו כן, אם אותם משתמשים הגדירו אמצעי תשלום קבוע – כדי לא להזין כל פעם מחדש את פרטי האשראי, ניתן היה לנצל את עצלותם כדי לעשות קצת קניות.

כאמור, נועם רותם והצוות שלו הם האקרים ״אתיים״, כלומר, הם פועלים על מנת לגלות פרצות אבטחה בעייתיות במגוון אתרים ושירותים, ומדווחים עליהם, לפני שהאקרים ״אמיתיים״ יגלו אותם גם כן. הצוות פנה לגירבסט מספר פעמים לפני פרסום הדוח, ולא קיבל מענה. רק לאחר שכתבה בנושא פורסמה באתר Android Police, גירבסט הועילו להגיב.

מהחברה נמסר כי מסיבה שעדיין לא ברורה, ב-1 במרץ, מערכת ה-Firewall שתכליתה להגן על מאגרי הנתונים האלו, הושהתה על ידי אחד מאנשי צוות האבטחה בחברה. ״נכון לעכשיו, אנחנו מאמינים שזה עשוי היה להשפיע על לקוחות חדשים שלנו, כמו גם על לקוחות קיימים שביצעו הזמנות בין  ה-1 למרץ ועד ה-15 במרץ, סה״כ כ-280,000 הזמנות״. בגירבסט מתנצלים על מה שקרה, ומבטיחים שהם ינקטו בצעדים דחופים על מנת לחסום את הסיסמאות של לקוחות חדשים כדי למנוע כניסה בלתי חוקית לחשבונותיהם, וישלחו אימייל לכל הלקוחות שהיו חשופים לפרצה.

אז מה עושים עכשיו? אם אתם רשומים כבר לפלטפורמה, כנראה שהצעד הראשון יהיה להחליף כמובן את הסיסמא שלכם. אמנם בגירבסט מתכננים יום מכירות מיוחד ב-21 במרץ לרגל חגיגות יום הולדת חמש לאתר, אבל אנחנו במקומכם היינו חושבים פעמיים לפני שהיינו מקליקים, לפחות עד יעבור זעם.

הילה חיימוביץ׳

גיקית, Deal With It

הגב

5 תגובות על "פרטים רגישים נחשפו: חוקרים ישראליים מצאו פרצת אבטחה חמורה ב-Gearbest"

avatar
Photo and Image Files
 
 
 
Audio and Video Files
 
 
 
Other File Types
 
 
 

* שימו לב: תגובות הכוללות מידע המפר את תנאי השימוש של Geektime, לרבות דברי הסתה, הוצאת דיבה וסגנון החורג מהטעם הטוב ו/או בניגוד לדין ימחקו. Geektime מחויבת לחופש הביטוי, אך לא פחות מכך לכללי דיון הולם, אתיקה, כבוד האדם והדין הישראלי.

סידור לפי:   חדש | ישן | הכי מדורגים
אוריה
Guest

הואילו

אבשלום קור
Guest

שכח מזה – זה ממילא לא יועיל :)

ASD
Guest

קונים בזול ומשלמים ביוקר

תתעדכנו
Guest

אפשר לשלם עם פייפל באליאקספרס כבר זמן רב.

wpDiscuz

תגיות לכתבה: