🙋🏿 🏴󠁧󠁢󠁥󠁮󠁧󠁿 🕵🏽 समर्थन एक वास्तविक सुरक्षा छेद है। 🐼 🤾🏽 ⁉️

आप सभी सुरक्षा नियमों का पालन करते हैं, अद्वितीय पासवर्ड, दो-कारक प्रमाणीकरण, एक सुरक्षित कंप्यूटर का उपयोग करते हैं। लगता है कि आपका खाता और व्यक्तिगत जानकारी अब सुरक्षित है? नहीं। अमेज़ॅन का उदाहरण दिखाता है कि यह मामला नहीं है। सिस्टम में सबसे कमजोर लिंक अमेज़ॅन सपोर्ट सर्विस है, जो किसी बाहरी व्यक्ति को आपकी निजी जानकारी देने के लिए तैयार है, अगर उसके पास सोशल इंजीनियरिंग का कौशल है। मैट होनान

की त्रासदी अभी तक मिट नहीं पाई है(2012 वर्ष)। वास्तव में एक घंटे में, पत्रकार ने अमेज़ॅन, जीमेल, एप्पल और ट्विटर खातों को हैक कर लिया, अपने आईपैड, आईफोन और मैकबुक पर दूरस्थ रूप से जानकारी को नष्ट कर दिया। अन्य बातों के अलावा, उन्होंने अपनी बेटी की सभी तस्वीरों को उसके जन्म, कई दस्तावेजों और अधिकांश पत्राचार से खो दिया। फिर यह सब इस तथ्य के साथ शुरू हुआ कि हमलावर ने अपनी वेबसाइट पर व्हाट्स रिकॉर्ड से पीड़ित के व्यक्तिगत डेटा का उपयोग करके अमेज़ॅन समर्थन कहा।

एक ऐसी ही कहानी अब डेवलपर एरिक स्प्रिंगर, एक एडब्ल्यूएस और अमेज़ॅन स्टोर ग्राहक के साथ हुई। और फिर, अमेज़ॅन का समर्थन एक सच्चा सुरक्षा बैकडोर साबित हुआ है।

यह सब इस तथ्य से शुरू हुआ कि एरिक को समर्थन टीम से एक निर्दोष पत्र मिला: "हैलो! हमसे संपर्क करने के लिए धन्यवाद। सादर, महेश्वरण। "

समस्या यह है कि एरिक ने उनसे संपर्क नहीं किया।

पहली बार में, उन्होंने सोचा कि यह एक महीने पहले की देर से पत्र था जब उन्होंने समर्थन से संपर्क किया।

हालांकि, जिज्ञासा प्रबल हुई, और वह अभी भी एक सवाल के साथ अमेज़ॅन की ओर मुड़ गया, क्या मामला था? उन्होंने जवाब दिया कि उन्होंने सिर्फ समर्थन विभाग के साथ बात की है। हैरान एरिक ने चैट लॉग भेजा।

एरिक बताते हैं कि चैट में इंगित किया गया पता वास्तविक नहीं है, उन्होंने डोमेन का पंजीकरण करते समय सिर्फ एक बार इसका इस्तेमाल किया था, इसलिए यह पता व्हॉट्स रिकॉर्ड में संग्रहीत है। अगला:

जैसा कि आप देख सकते हैं, इस तरह के "पहचान की पुष्टि" के बाद, समर्थन अधिकारी ने आदेश के बारे में विस्तृत जानकारी दी: क्या आदेश दिया गया था, क्या पता भेजा गया था, क्या खाता शेष, वास्तविक घर का पता और पीड़ित का टेलीफोन नंबर। यह पहले से ही एक असली हमले को शुरू करने के लिए पर्याप्त है।

एरिक स्प्रिंगर इस बात से बहुत नाराज थे कि कुछ लोगों को उनके बारे में पूरी जानकारी दी गई थी। उन्होंने समर्थन से संपर्क किया और खुद को संयमित करने में कठिनाई के साथ, सोशल इंजीनियरिंग के जोखिम के रूप में अपने खाते को चिह्नित करने के लिए कहा, ताकि सिस्टम में प्राधिकरण के बाद ही उसके साथ चैट किया जा सके। अमेज़ॅन के एक कर्मचारी ने कहा कि वे खाते में एक नोट करेंगे, और एक विशेषज्ञ अलग से उससे संपर्क करेगा (वह कभी भी संपर्क में नहीं आया)।

कुछ महीनों के बाद, जब सब कुछ अतीत में लग रहा था, एक और पत्र आया। फिर से वही: "Amazon.com से संपर्क करने के लिए धन्यवाद ..."।

एरिक ने फिर से एक सहायक कर्मचारी से संपर्क किया, जो यह नहीं समझ सकता था कि कोई व्यक्ति किसी अन्य व्यक्ति का प्रतिरूपण कर रहा है। अंत में, उसने अभी भी चैट लॉग भेजा।

हैकर (या सोशल इंजीनियर) ने हमले के पिछले चरण में प्राप्त पते का उपयोग किया था।

और फिर से वही बात। सहायता अधिकारी ने फिर से डिलीवरी एड्रेस, यानी पीड़ित का असली घर का पता प्रदान किया।

इसके बाद, हैकर ने क्रेडिट कार्ड के अंतिम चार अंकों का पता लगाने की कोशिश की। भगवान का शुक्र है, यह असफल रहा, अन्यथा वह ऐप्पल आईक्लाउड सहित कई अन्य वेब सेवाओं तक पहुंच प्राप्त कर लेता, जैसा कि मैट होनान के साथ है।

एरिक ने कैलिपर से संपर्क किया और अपने खाते को सुरक्षित रखने और किसी को भी व्यक्तिगत जानकारी नहीं देने के महत्व के बारे में एक ही मंत्र दोहराया। उन्होंने खाते को टैग करने का वादा किया और यह फिर कभी नहीं होगा, और यह कि एक विशेषज्ञ उससे संपर्क करेगा (ऐसा दोबारा नहीं हुआ)।

कहानी के परिणामों के आधार पर, एरिक स्प्रिंगर ने फैसला किया कि कंपनी पर भरोसा नहीं किया जाना चाहिए, इसलिए उसने अमेज़न खाते से अपने पते के बारे में पूरी तरह से जानकारी हटा दी।

जल्द ही उन्हें एक और पत्र मिला, जो पिछली बातचीत के जवाब में स्पष्ट रूप से लिखा गया था (जो नहीं था)।

इस बार, चैट लॉग को प्राप्त नहीं किया जा सका क्योंकि हमलावर ने फोन किया था।

यह स्पष्ट नहीं है कि हैकर क्या चाह रहा है, लेकिन एक बात स्पष्ट है: लड़का स्पष्ट रूप से बहुत अनुभवी नहीं है। यदि वांछित है, तो सामाजिक इंजीनियर सुरक्षा प्रणाली में मुख्य बैकडोर का उपयोग करके अधिक नुकसान कर सकता है - समर्थन सेवा।

एरिक स्प्रिंगर सलाह देते हैं कि सभी अमेज़ॅन उपयोगकर्ता सावधान रहें और इस प्रकार के हमलों के लिए तैयार रहें। बदले में, वह अनुशंसा करता है कि ऑनलाइन स्टोर में लॉग इन करने के बाद ही आप ग्राहकों के साथ बातचीत शुरू करें। यदि कोई व्यक्ति पासवर्ड भूल गया है तो अपवाद बनाया जा सकता है।

समर्थन एक वास्तविक सुरक्षा छेद है।

More articles: