Скомпрометированы транзакции плательщиков RBK Money
Эта история началась в августе.Совершая оплату за хостинг, я воспользовался системой RBK Money. Проведя платеж, я забыл закрыть вкладку браузера с результатом транзакции.
Спустя некоторое время я вновь открыл браузер и обнаружил, что эта страница также отобразилась, не запросив у меня авторизацию.
Стало интересно, т.к. я считал, что эра ошибок такого рода давно прошла.
У каждой транзакции есть invoiceId, который был виден в адресной строке. Прибавив к своему invoiceId единичку я увидел результат транзакции, которая мне не принадлежала. Судя по всему, это была следующая операция по оплате в системе.
Поиграв со значениями этой переменной браузер выдал мне ряд занимательных данных, исходя из которых можно собрать список наиболее денежных ресурсов, проводящих свои платежи через RBK Money.
О любой транзакции можно было получить следующие данные:
Email плательщика Сумму платежа Получателя платежа Ссылку «Вернуться в магазин» Стоит отдать должное хостингу, за который я совершил оплату. Ссылка «Вернуться в магазин» переводила на домен хостинга без всяких личных кабинетов. Но среди получателей были и такие, у которых ссылка вела на более важные страницы:
Печать оплаченного билета Сообщение о пополнении баланса в игре Адрес доставки товара, приобретенного в интернет магазине Получение прочих электронных товаров Пример страницы с покупкой в магазине:
Как законопослушный гражданин я написал в техническую службу RBK Money, где меня поблагодарили, но не признали это брешью. Однако часть символов в email’е плательщика замаскировав звездочками. Ладно, пусть уж так, хотя это не выход.
Спустя месяц я вновь совершил оплату и обнаружил свой email без звездочек и это задело меня уже сильнее, чем в первый раз.
Последовало повторное обращение с описанием проблемы, скриншотом и предложением решения путем введения сессий. Далее последовало частичное закрытие почты плательщика звездочками.
Переписка со службой поддержки:
От этого у меня возникает ряд вопросов либо о своей компетентности, либо о компетентности службы поддержки.
