Milliók adatait lophatták el az eBayen

Egy biztonsági rést kihasználva adathalász kódot helyeztek el az eBayen. A sebezhetőségről egy biztonsági szakember értesítette az aukciós portált, ám mivel az egy hónapig nem válaszolt neki, a szakember nyilvánosságra hozta az ügyet.

Többmillió eBay felhasználó adatai voltak veszélyben egy súlyos biztonsági hiba miatt. Az aukciós portál mostanra már befoltozta a rést, ám azzal nem foglalkozott túlzottan addig, míg a média fel nem figyelt rá.

A hibát felfedező, MLT nicknévre hallgató biztonsági szakember először a céget értesítette, ám mivel levelére egy hónapig nem kapott választ, nyilvánosan is közzétette blogján a hibát, és annak magyarázatát.

Egy hónapig bárki adata rossz kezekbe kerülhetett Forrás: dpa Picture-Alliance/AFP/Lukas Schulze

Az úgynevezett XSS (cross site scripting) sebezhetőségnek köszönhetően a támadó be tudta ágyazni saját kártékony kódját az eBayre. A hackerek

egy hamis bejelentkezési oldalt rejtettek el az eBay URL-rendszerében,

aminek köszönhetően úgy tűnt, hogy a felhasználó a valódi aukciós portálnak adja ki adatait. Ilyenkor ugyan rendre hibaüzenetet kaptak, közben valójában az adathalász alkalmazás már elszipkázta adataikat.

Beismerték

A cég szóvivője elismerte, hogy már december 11-én eljutott hozzájuk a kiberszakértő észrevétele, ám arra azért nem tudtak válaszolni elmondásuk szerint, mert a szakember email címet váltott, ez pedig megnehezítette a kommunikációt.

A biztonsági szakember szerint

a nagy cégek egyszerűen nem foglalkoznak a felhasználókkal.

Azt egyelőre még nem tudni, hogy számszerint hány embert érinthetett az adatlopás.