Хакеры получили доступ к бесплатным поездкам из-за багов в приложении Moovit
Омер Аттиас, исследователь безопасности из SafeBreach, обнаружил три уязвимости в транспортном приложении Moovit, которые позволили ему добыть данные регистрации новых пользователей со всего мира, включая номера мобильных телефонов, адреса электронной почты, домашние адреса и последние четыре цифры кредитных карт. Кроме того, он смог завладеть учётными записями других людей, чтобы оплачивать свои поездки.
Аттиас отмечает, что это «идеальная атака», поскольку жертва о ней даже не подозревает.
Исследователь создал собственный интерфейс, который позволял ему управлять учётными записями других людей с помощью пары кликов. Аттиас проверял свои эксплойты только на пользователях в Израиле, но отмечает, что, по его мнению, они могли бы сработать и в других странах.
Moovit — израильский стартап, который Intel купила в 2020 году за $900 млн. Приложение позволяет пользователям находить маршруты и просматривать карты систем общественного транспорта, а также покупать и использовать билеты. Moovit утверждает, что обслуживает 1,7 млрд пассажиров в 3500 городах в 112 странах.
В ответ на заявление исследователя компания отметила, что нет никаких доказательств использования этих багов. Аттиас утверждает, что сообщал обо всех обнаруженных им ошибках в компанию в сентябре 2022 года, и впоследствии они были исправлены.
Представитель Moovit Шарон Касласси подчёркивает, что баги не раскрывали информацию о кредитных картах, поскольку она не хранится компанией.
Ранее подростки представили на Defcon схему взлома системы карт метрополитена Бостона ради бесплатного проезда. Им удалось не только обнулить стоимость проезда, но и добавить на карту любую сумму денег либо обозначить её как студенческую, карту пенсионера или даже сотрудника метро, которая даёт неограниченное количество бесплатных поездок.
