Yksi rivi koodia riitti – lippukauppa korkattiin rumasti, mutta taisi olla oma vika | Tivi
Yksi rivi koodia riitti – lippukauppa korkattiin rumasti, mutta taisi olla oma vika
Jori Virtanen, 3.7.2018 13:21 Digitalous
Ticketmaster hakkeroitiin kesäkuun lopussa. Hyökkääjät pääsivät käsiksi käyttäjätietoihin ja vohkivat kymmeniä tuhansia maksukorttitietoja. Ticketmaster sekä sen yhteistyökumppani Inbenta syyttävät tapauksesta toisiaan.
Kansainvälinen lippukauppa Ticketmaster hakkeroitiin kesäkuun lopussa. Hyökkääjät pääsivät käsiksi käyttäjätietoihin ja vohkivat kymmeniä tuhansia maksukorttitietoja.
Ticketmaster syyttää tapauksesta chattibotin tehtaillutta Inbentaa, joka puolestaan vastaa syytöksiin samalla mitalla.
IT Wire kertoo, että Inbentan mukaan Ticketmaster oli itse sössinyt tilanteen liittämällä Inbentan tekemän chattibotin sivuillensa javascriptin avulla. Ticketmaster ei kertonut asiasta Inbentalle.
Tunnettu tietoturvatutkija Kevin Beaumont on tutkinut asiaa ja toteaa blogissaan, että vika todella on Ticketmasterin päädyssä kenttää.
Inbentan chattibotti toimii yksittäisen html-koodirivin avulla, joka ohjaa selaimen hakemaan javascriptiä Inbentan palvelimelta. Tässä tapauksessa javascript-koodinpätkä oli juurikin keskustelubotti, jota käyttäjä halusikin käyttää.
Valitettavasti Ticketmaster asensi Inbentan toimittaman chattibotin maksusuorituksia käsittelevälle verkkosivulle, eikä maininnut asiasta Inbentalle.
”Inbentan verkkopalvelin laitettiin siis kaikkien Ticketmasterin maksusuoritusten välikädeksi, ja sillä oli kyky ajaa javascriptiä käyttäjän selaimella”, Beaumont kiteyttää.
Hyökkääjä keikkasi luottokorttitiedot juurikin tämän avulla: he muokkasivat Ticketmasterin itse verkkosivulleen laittamaa javascriptiä, ja sen avulla hissukseen ryystivät asiakkaiden maksutiedot talteen.
Turva-alan yritys Proofpointin tietoturvapäällikkö Adenike Cosgrove pitää tapausta kiinnostavana etenkin gdpr:n vuoksi. Cosgrove kutsuu tätä ensimmäiseksi suuren luokan kansainväliseksi hakkeroinniksi sitten gdpr:n voimaanastumisen, jolloin tapauksen seurauksia seurataan haukkana.
”Kysymyksiä tullaan esittämäään ennen kaikkea siitä miten arkaluontoista henkilökohtaista tietoa kuten maksutietoja voitiin jakaa kolmannen osapuolen valmistaman sovelluksen kautta, ja vieläpä salaamatta”, Cosgrove esittää.