[Обновлено x2] PSA: если вы когда-либо покупали что-либо у SlickWraps, вся ваша личная информация была скомпрометирована
SlickWraps
SlickWraps, один из самых известных производителей скинов для устройств, похоже, столкнулся с серьезной проблемой безопасности. Исследователь безопасности под ником Lynx0x00 в Твиттере сумел проникнуть в системы SlickWraps и скомпрометировать практически все. Если вы являетесь клиентом SlickWraps, пришло время заблокировать свой кредит и сменить пароли.
Обновление от 21 февраля: вскоре после публикации этого поста SlickWraps выпустила официальное заявление через свой аккаунт в Твиттере:
https://twitter.com/SlickWraps/status/1230929725192839170?s=20
Обновление x2, 21 февраля: исходный пост на Medium с подробным описанием этого нарушения больше недоступен. Вы можете найти заархивированную версию здесь.
Исходный отчет остается нетронутым ниже.
Как он объяснил в своем посте на Medium, Lynx0x00 впервые начал изучать SlickWraps из-за жалоб на обслуживание клиентов в Twitter. Но настоящая история началась, когда он увидел заявление о том, что хакер взломал учетные записи ZenDesk SlickWraps. И так приступили к тестированию.
Вскоре он получил полный доступ к базам данных клиентов. В области настройки корпуса телефона компании на их веб-сайте была обнаружена уязвимость, которая позволяла любому пользователю с нужным набором инструментов загружать любой файл в любое место в самом верхнем каталоге на их сервере. Оттуда все остальное выпало, как домино.
Рысь говорит, что он получил доступ к базам данных компании, Slack, журналам транзакций для их платежных шлюзов и даже полный контроль над системой управления контентом компании.
В конце концов, он попытался сообщить SlickWraps об уязвимости, используя как обычные средства (например, хорошо сформулированное электронное письмо), так и нетрадиционные средства (например, расплывчатый твит с менее расплывчатыми последующими действиями). Первоначально его попытки связаться остались без ответа, и компания даже заблокировала его в Twitter.
В конце концов ему удалось связаться с командой SlickWraps в социальных сетях, но это обсуждение не заладилось, и компания снова заблокировала его. Это привело к тому, что Lynx опубликовал свои выводы на Medium. Со своей стороны, SlickWrap не подтвердила заявления Lynx, а ее аккаунт в Твиттере хранит молчание. Мы обновим этот пост, если компания выпустит заявление. (Редактировать: вы можете прочитать заявление SlickWrap выше.)
К сожалению, у нас есть все основания полагать, что кто-то имеет доступ к аккаунтам и сервисам SlickWraps. Клиенты начинают публиковать электронные письма с официальной учетной записи электронной почты SlickWraps, но написанные кем-то другим. Lynx заявил, что не писал электронное письмо.
Если вы когда-либо покупали что-либо в SlickWraps, вы можете заблокировать свой кредит и связаться с компаниями, выдающими кредитные карты.
Вы также можете сбросить пароли, и если вы повторно используете один и тот же пароль для многих сайтов, вам следует остановиться. Мы предлагаем использовать менеджер паролей для создания уникальных паролей для каждого веб-сайта.
через Lynx0x00 на Medium