मेगाफोन का नया सुरक्षा छेद ग्राहकों के खातों को क्रैक करने की अनुमति देता है

हमारे एक कॉर्पोरेट सेल फोन पर लगभग सफल हैकर हमला किया गया था।
सौभाग्य से, मैं जल्दी से यह पता लगाने में कामयाब रहा कि "पैर कहाँ बढ़ते हैं"।
हमें मेगाफोन के संरक्षण में एक और "छेद" मिला, और हम आपके साथ साझा कर रहे हैं।
यह सभी नेटवर्क ग्राहकों पर लागू होता है।

कुछ दिनों पहले, मैंने मेगाफोन वेबसाइट पर "छेद" के बारे में ग्राहक सेवा को सूचना दी। 04/08/2013 के समय भेद्यता तय नहीं की गई थी।


कुल्हाड़ी की तरह यह योजना सुरुचिपूर्ण और सरल है। आपको अपने ज्ञान के बिना अपने खाते से पैसे चोरी करने की अनुमति देता है।

इसलिए, मेगाफोन में एक आवश्यक और उपयोगी चीज है - सेवा गाइड। लंबी आवाज संचार के बिना सेवाओं का प्रबंधन करना संभव है "आपका कॉल हमारे लिए बहुत महत्वपूर्ण है।"
और इसके लिए प्रवेश सही ढंग से किया जाता है, पासवर्ड चयन के माध्यम से हैकिंग की अनुमति नहीं देता है। सरल लेकिन कैप्चा वर्तमान।

सब कुछ ठीक होगा, लेकिन कैप्चा साइट की उपयोगिता को नुकसान पहुँचाता है। डिजाइनर कभी-कभी सामान्य ज्ञान को हरा देते हैं। एक ऐसा पोर्टल है जो फ़ोन के संदेशों के कार्यों को डुप्लिकेट करता है ।megafon.ru , वह प्रवेश द्वार, जो स्वचालित सिग्नल अनुमानों से सुरक्षित नहीं है:



लेकिन लॉगिन के लिए उपयोगकर्ता नाम / पासवर्ड जोड़ी सेवा गाइड के लिए समान है।
सेवा मार्गदर्शिका आपको सेवाओं का प्रबंधन, टैरिफ कनेक्ट करने, सूचनाओं को कॉन्फ़िगर करने की अनुमति देती है।

चोरों ने क्या किया?

1. इस एसएमएस-साइट की मदद से, वे सेवा गाइड से पासवर्ड का चयन (जाहिरा तौर पर, सरल निकास खोज द्वारा) करते हैं, और दर्ज करते हैं।
2. वे सेवा मार्गदर्शिका तक पहुंच प्राप्त करते हैं: आने वाले एसएमएस को पढ़ने और उन्हें भेजने के लिए।
3. भुगतान की गई सेवाओं के लिए सदस्यता लें (बेवकूफ MegafonPro, मेरी अनुमानित राय)।
4. सदस्यता से एक पुष्टिकरण कोड वाला एक एसएमएस आता है।
5. सदस्यता साइट पर इस कोड को दर्ज करें।
6. भुगतान की गई सदस्यता के लिए आपके खाते से काटे गए धन के लिए उन्हें मेगाफोन से एजेंसी का ब्याज मिलता है।

स्वचालित रूप से और बड़े पैमाने पर हजारों फोन संसाधित होने के बाद, आप अशोभनीय पैसा कमा सकते हैं।

मोबाइल ऑपरेटर के विशेषज्ञों के क्रेडिट के लिए, यह ध्यान देने योग्य है कि सेवा गाइड में प्रवेश करने के समय और यह "एसएमएस-साइट" एक एसएमएस-अधिसूचना आता है।

मेरे मामले में, एसएमएस पोर्टल का प्रवेश 00:23 मिनट पर हुआ, उस समय मैं जाग रहा था, और तुरंत मोबाइल इंटरनेट के माध्यम से मैंने सर्विस गाइड से पासवर्ड को और अधिक स्थिर कर दिया।
दुर्भाग्य से, पासवर्ड बदलने से उपयोगकर्ता मेगाफ़ॉन एसएमएस साइट से लॉग आउट नहीं होता है, और हमलावर अभी भी हो सकते हैं।
चोरों के पास मेरे सामने सेवा गाइड में प्रवेश करने का समय नहीं था। शायद सेवा गाइड में अब किसी पासवर्ड का उनका लगातार प्रवेश अपने आप ही अवरुद्ध हो गया। लेकिन अगर मैंने पासवर्ड बदलने का प्रबंधन नहीं किया है, तो कौन जानता है कि वे क्या करेंगे।

दिन के दौरान, सशुल्क सदस्यता के पुष्टिकरण कोड दो बार आए। वे अब आते रहते हैं।

मेगाफोन के लिए इस हमले से बचाव के उपाय:

1. यहां ऑटोमैटिक लॉगिन के खिलाफ प्रोटेक्शन डालिए message.megafon.ru और अब ऐसा कोई मज़ाक नहीं - DONE
2. सेवा गाइड पासवर्ड में लैटिन अक्षरों के उपयोग की अनुमति दें
3. एसजी और एसएमएस-साइट के लिए एक अलग लॉगिन / पासवर्ड जोड़ी बनाएं

ग्राहकों के लिए संरक्षण के उपाय:

0. आम तौर पर सेवा गाइड का उपयोग नहीं करते हैं, लेकिन अगर आप पहले ही शुरू कर चुके हैं
उदाहरण के लिए , सर्विस गाइड पर एक मजबूत पासवर्ड डालें
2. किसी भी स्थिति में, सेवा गाइड से पासवर्ड बदलें
3. सेवा गाइड या सदस्यता सेवा में, किसी भी भुगतान की गई सेवाओं या सदस्यता के उपयोग को अवरुद्ध करें, कम संख्या से धन घटाएं। MegaFon ग्राहकों के लिए, यह एक निःशुल्क स्टॉप कंटेंट सेवा है।

आपका ध्यान देने के लिए धन्यवाद। मैं सभी को सुरक्षित कनेक्शन और बग-फ्री बिलिंग की कामना करता हूं।

शून्य अद्यतन: उपयोगी किआ संबंधित लिंक www.mobile-review.com/articles/2013/ums-podpiski.shtml
UPD1: "सर्विसगाइड के बारे में " हैबर पर ताजा लेख
UPD2: 9 अप्रैल, 2013 मेगाफोन ने फॉर्म में कैप्चा जोड़ा। मुख्य अंतराल बंद है! एक त्वरित प्रतिक्रिया के लिए मेगाफॉन के कर्मचारियों को धन्यवाद।
UPD3: लेख के लिए टिप्पणियों में मेगाफोन का जवाब ।
UPD4: मेगाफोन के छेद के बारे में एक और लेख - ताजा, अभी तक बंद नहीं हुआ!

UPDATE2015 - छेद बंद नहीं हुआ था! वोल्गोग्राड से हैब्रिटेकटेल का संदेश:

कैप्चा है, लेकिन यह किसी भी चीज़ की सुरक्षा नहीं करता है।
यदि आप एक गलत लॉगिन पासवर्ड और किसी भी कैप्चा को दर्ज करते हैं, तो हम संदेश "अमान्य लॉगिन / पासवर्ड" देखेंगे।
और यदि हम सही लॉगिन पासवर्ड और कोई कैप्चा लिखते हैं, तो हम "सही कैप्चा नहीं" देखेंगे।
इस प्रकार, पहले की तरह अंतहीन आकार देना जारी रखना संभव है।
गिरवी रखने पर ही कैप्चा की जरूरत होगी।
कैप्चा क्रूर के लिए बाधा नहीं है, आप कैप्चा फ़ील्ड में हमेशा 1111 लिख सकते हैं और सामान्य रूप से भंग कर सकते हैं।
- भेद्यता तय, मेगाफोन अच्छी तरह से किया!