На Booking.com нашли уязвимость аутентификации, позволяющую угнать аккаунт

На Booking.com нашли уязвимость аутентификации, позволяющую угнать аккаунт

На Booking.com нашли уязвимость аутентификации, позволяющую угнать аккаунт

В системе аутентификации сайта Booking.com нашлись уязвимости, позволяющие условным злоумышленникам получить контроль над аккаунтами пользователей, а также просмотреть их данные, включая платёжную информацию.

На проблемы указали исследователи из компании Salt Security. По их словам, брешь крылась в имплементации механизма OAuth на платформе Booking.com. Напомним, что открытый протокол OAuth позволяет аутентифицироваться с помощью аккаунтов в сторонних системах без передачи третьей стороне логина и пароля.

«Проблема безопасности в OAuth может привести к краже личности, поспособствовать проведению мошеннических финансовых операций и открыть доступ к информации пользователя, включая личные сообщения и данные банковских карт», — пишут специалисты Salt Security в блоге.

В частности, исследователи указали на проблему открытого редиректа на площадке Booking.com. Брешь проявляется при попытке войти на сайт с помощью аккаунта в Facebook (признана экстремистской и запрещена в России). Эксперты связали в общую цепь три бреши, что позволило им получить полный контроль над атакуемым аккаунтом.

«Как только злоумышленник войдёт в учётную запись, он сможет осуществить любое действие от имени атакованного пользователя, а также получить полный доступ к его персональным данным», — объясняют в Salt Security.

Эксперты передали сведения об уязвимости представителям Booking.com. В настоящее время проблема должна быть устранена.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Роскомнадзор автоматизирует контроль нарушений в области оборота ПДн

Минцифры предложило предоставить Роскомнадзору возможность использовать автоматизированные системы для отслеживания нарушений законодательства о защите персональных данных, допускаемых компаниями и онлайн-сервисами.

На Портале проектов нормативно-правовых актов размещён подготовленный Минцифры проект постановления правительства.

Документ включает четыре изменения в Положение о федеральном государственном контроле (надзоре) за обработкой персональных данных, утверждённое постановлением Правительства РФ от 29 июня 2021 года № 1046.

Поправки предусматривают использование «информационных систем, принадлежащих или находящихся в пользовании уполномоченного (территориального) органа» для выявления нарушений в области обработки и защиты персональных данных.

Ранее такие функции выполняли исключительно должностные лица контролирующего органа (или его территориальных подразделений) на основании жалоб граждан, организаций или публикаций в СМИ.

Кроме того, в проекте уточняется порядок уничтожения недостоверных или незаконно полученных персональных данных. Теперь регулятор сможет требовать от оператора персональных данных их уточнения, блокирования или уничтожения даже в случаях, когда нарушение выявлено в ходе проверки без взаимодействия с проверяемым лицом.

По мнению Минцифры, новые полномочия позволят Роскомнадзору быстрее реагировать на нарушения законодательства в сфере обработки персональных данных и повышать эффективность государственного контроля в этой области.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru