[toshibaas]

Dawno nie wrzucałem odkryć ze świata #programowanie #security , a mam w rękawie jednego dużego odzieżowego giganta z polski LPP (Reserved, Cropp itp.).

LPP posiada kilka sklepów pod różnymi adresami w zależności od marki. Różnią się kilkoma detalami, ale ogólnie „stoją” na tym samym oprogramowaniu. #reserved #cropp

Skupiając się głównie na RESERVED mogliśmy znaleźć taki URL :

https://www.reserved.com/pl/pl/checkout/order/created/order_id/{orderid}/

Zmienna orderid jest identyfikatorem w formie rosnącej (z analizy wynika, że zwiększa się o 2).

Przykładowe order_id :

XX340633
XX350633
XX350635
XX350835

Tutaj można było zauważyć, że to klienci z całego świata po imieniu, nazwisku i adresie e-mail.

Dane jakie można było pozyskać dla zamówień to :

Widoczne na stronie :
- Email
- Numer zamówienia
- Forma płatności
- Status zamówienia

Widoczne po sprawdzeniu źródła strony :
- Kwota zamówienia
- Koszt wysyłki
- Wykorzystany kupon rabatowy
- Informacje o zakupionych produktach (nazwa, kwota, ilość)

Powyższe dane były widoczne w kodzie źródłowym ponieważ były wysyłane do Google Analitycs (sic!).
Tak! Wysyłali do Google Analitycs dane, które mieli bo pewnie tak było łatwiej marketingowi analizować słupki :P

Ze względu na małe różnice względem każdego brandu dane widoczne na stronie (email, numer zamówienia, forma płatności, status) były dostępne tylko w Reserved i Cropp, a widoczne po sprawdzeniu źródła już dla wszystkich.

Skala problemu była tak wielka, że obejmowała wszystkie zamówienia. Wystarczyło iterować się po kolejnych identyfikatorach i pozyskiwać dane zamówień oraz klientów.

Pokazuje to jak niewielką wiedzę odnośnie IT i bezpieczeństwa potrzebują oszuści w celu wyłudzenia danych odnośnie Waszych zakupów i tego co kupujecie w sieci. Dane mogą potem ładnie zostać wykorzystane do wyłudzeń. Sklepy same wystawiają się na strzała :)

Dodatkowo od dłuższego czasu zauważam, że coraz bardziej po macoszemu podchodzi się do kwestii bezpieczeństwa aplikacji. Od poprawnego zabezpieczenia kont klientów po wrażliwe dane w kodzie źródłowym bo #javascript i tak będzie szybciej i łatwiej. Uważajcie co dajecie na froncie!

[toshibaas]

@LucaJune: Jeśli ktoś popełni błąd, tak jak miało to miejsce tutaj to wyciek obejmuje dodatkowe dane. W wielu przypadkach to jest jedyne rozwiązanie, ale wszystko szło w niezabezpieczonej części.

[toshibaas]

@WujekMagdon: @antosiuuu: dokładnie ( ͡° ͜ʖ ͡°)

[testowyandrzej]

@toshibaas: Przecież zabezpieczyli bo umeru zamówień nie idą po kolei tylko są losowe co 2 :p

[ubog]

@toshibaas: a czy kupowanie jako gosc, bez rejestrowania konta (nie wiem czy akurat u nich mozna) w jakikolwiek sposob chroni nas w takich przypadkach czy bez roznicy?

btw. fajnie jakbys zrobil jakis tag z takimi informacjami, pewnie nie tylko ja obserwowalbym chetnie

[Jednorybek]

@toshibaas: czyli w sumie dobrą i w pełni bezpieczną praktyką, mogło by być wyświetlanie zamówienia, generując link:
https://www.reserved.com/pl/pl/checkout/order/created/order_id/{orderid}/{randhash}
?

[toshibaas]

@Jednorybek: Jest kilka opcji, ale w tym przypadku tak.

[jakisprostylogin]

@toshibaas za brak zwroty i choćby podziękowania powinno to trafić do urzędu ochrony danych