แฮ็กบัญชี Grindr ผ่านฟีเจอร์รีเซ็ตรหัสผ่าน
(troyhunt.com)-
Grindr คือโซเชียลเน็ตเวิร์ก LGBTQ ที่ใหญ่ที่สุดในโลก จึงมีประเด็นข้อมูลส่วนบุคคลสำคัญตั้งแต่ขั้นตอนการสมัคร
-
ด้วยข้อบกพร่องด้านการออกแบบของหน้ารืเซ็ตรหัสผ่าน เพียงแค่รู้ที่อยู่อีเมลของคนอื่น ก็สามารถรีเซ็ตและล็อกอินได้
→ เมื่อส่งคำขอรีเซ็ต จะสามารถเห็นคีย์รีเซ็ตได้จากเครื่องมือสำหรับนักพัฒนาเว็บ ทำให้ใครก็รีเซ็ตได้
→ ด้วยวิธีเดียวกัน หากรู้เพียงที่อยู่อีเมลของคนอื่น ก็สามารถสร้างบัญชีใหม่ในชื่อคนนั้น รีเซ็ตรหัสผ่าน และตั้งค่าบัญชีได้เช่นกัน
- ผู้ที่ค้นพบปัญหาได้แจ้งไปยัง Grindr แล้ว แต่ไม่มีการตอบสนอง จึงนำเรื่องไปแจ้งกับ Troy Hunt
→ Troy เป็นผู้เชี่ยวชาญด้านความปลอดภัยที่ดูแล HIBP (Have I Been Pwned) ซึ่งเป็นบริการแจ้งว่าข้อมูลส่วนบุคคลรั่วไหลหรือไม่
- Grindr เพิ่งแก้ไขปัญหานี้หลังจากที่ Troy เปิดเผยเรื่องดังกล่าว และได้แจ้งว่าจะดำเนินโครงการ Bug Bounty
1 ความคิดเห็น
ฟีเจอร์รีเซ็ตรหัสผ่านและโฟลว์ที่เกี่ยวข้องกับบัญชี ถ้าออกแบบไม่ดีอาจกลายเป็นปัญหาใหญ่ได้
น่าจะดีถ้าได้ดูกรณีแบบนี้แล้วกลับไปตรวจสอบบริการของแต่ละคนกัน