aktualności · archiwum · testy · video · reklama · o nas Bezpieczeństwo klientów mBanku zagrożone! 2007-01-03 14:36:31
Security, autor: Rafał Pawlak, czytań: 16716
Opublikowana przez naszą redakcje informacja dotycząca luk w systemie Allegro zmobilizowała wielu naszych czytelników do sprawdzenia zabezpieczeń innych dużych platform i systemów finansowych, z których codziennie korzystają polscy internauci.
Jak się okazało mBank - jeden z dwóch największych banków wirtualnych w Polsce posiada luki, które po kliknięciu w odpowiednio spreparowany link pozwalają na dostęp do konta bankowego zalogowanego klienta tej instytucji.
Co prawda, nie ma możliwości wykonania przelewów - czyli teoretycznie nasze pieniądze są bezpieczne gdyż każda transakcja musi być uwierzytelniona hasłem jednorazowym z karty kodów.
Błędy w systemie dają jednak pełen wgląd do:
- danych o właścicielu konta (adres zamieszkania, e-mail itp.)
- historii przelewów (odbiorca i kwota)
- informacji o lokatach
- danych dotyczących kart kredytowych (numer karty, limity, producent)
- informacji o zaciągniętych kredytach, ubezpieczeniach
- listy przelewów / zleceń stałych
- numerów list haseł jednorazowych
Luki w systemie mBanku znalazł jeden z naszych czytelników - Michał Majchrowicz - wspólnie z naszym redakcyjnym kolegą Łukaszem Lachem.
Ze względu na duże zagrożenie związane z wykorzystaniem błędu - do czasu poprawienia systemu przez pion techniczny banku - nie publikujemy konkretnych informacji dotyczących odnalezionych podatności.
Źródło: własne
Szkoła Hackerów: Chcesz zgłębić tajemnice hackingu?
(c) 2000-2007 hacking.pl security
Logo mBanku

Jak informuje serwis hacking.pl jeden z największych wirtualnych banków w Polsce mBank miał luki w systemie transakcyjnym. Dostęp do danych klientów banku był możliwy, jeżeli klient podczas zalogowania w systemie kliknąłby w odpowiednio spreparowany link, który mógłby dostać drogą mailową, przez komunikator czy klikając w niego na jakiejś stronie. Luka ta nie zagrażała bezpośrednio pieniądzom klientów, pozwalała tylko na przeglądanie: danych o właścicielu konta (adres zamieszkania, e-mail itp.), historii przelewów (odbiorca i kwota), informacji o lokatach, danych dotyczących kart kredytowych (numer karty, limity, producent), informacji o zaciągniętych kredytach, ubezpieczeniach, listy przelewów / zleceń stałych oraz numerów list haseł jednorazowych. Luka nie pozwalała na wypłaty pieniędzy czy inne operacje wymagające potwierdzenia hasłem jednorazowym. Lukę w systemie znaleźli Michał Majchrowicz wspólnie z jednym z autorów serwisu Łukaszem Lachem. Według ekipy mBanku ''"wskazane przez autorów artykułu pole do potencjalnych nadużyć zostało usunięte."'' Bank przypomniał jednocześnie o tym, aby klienci ''"korzytając z serwisu transakcyjnego mBanku nie otwierali równocześnie kolejnych okien przeglądarki ani nie klikali w linki umieszczone w e-mailach, wiadomościach z komunikatorów itp".''