[jagodowy_krol]

odnośnie #afera z #gielda #xtb:

1. sprawdźcie sobie swoje aktywne sesje na tym portalu i ile ich jest.... czemu mr hacker działa tak frywolnie?
Dla leniwych link: https://wykop.pl/ustawienia/dostep-do-konta - w tym momencie mam 340 sesji (kiedyś miałem ponad 1000), przy czym zalogowany jestem na 2 urządzeniach - czyszczenie nic nie pomaga, za chwilę znowu jest ich tysiące. 90% z tego samego IP.
jest tam tysiące sesji, wszystkie rozdzielone, nawet z tego samego ip, z tej samej przeglądarki... tak, super to działa.

2. uświadomiłem sobie, że zabezpieczenie przez wygaśnięcie nieaktywnej sesji jest trywialne, stosuję to w moich projektach od bardzo dawna, wymaga to dosłownie zerowej potrzeby zmiany kodu. Wywalenie logowania/utrzymania sesji za pomocą ciasteczek.
Sesja ma być aktywna max 5, czy ileś, minut; w otwartym oknie dodajemy js który co minutę wywołuje zapytanie do podstrony, dzięki czemu utrzymuje sesję w zakładce. Proste, skuteczne, odrobina chęci - ale u mnie to mała firma, a nie multikorporacja gdzie powyższa zmiana musi być zatwierdzona i zaakceptowana przez co najmniej kilkunastu pracowników.

Trochę #programowanie

[WitStwosz12]

@jagodowy_krol:

[muzycznifm]

@jagodowy_krol: "GIGANTYCZNE, MASOWE włamania na konta klientów XTB"

tymczasem, oficjalna lista poszkodowanych w Polsce:
1. Jeden frajer z Krakowa który używał tego samego hasła z FB do logowania na platformie brokerskiej i który przez rok czasu miał w------e aby aktywować 2FA pomimo wielokrotnych powiadomień z XTB
2. anonimowe konto na Twitterze założone w kwietniu 2025

#aferazdupy

[widmo82]

Sesja ma być aktywna max 5, czy ileś, minu

@jagodowy_krol: ale wtedy nie podejmiesz szybko (często głupiej) decyzji inwestycyjnej

[widmo82]

używał tego samego hasła z FB do logowania na platformie brokerskiej

@muzycznifm: daj link gdzie to potwierdza

[muzycznifm]

@widmo82: wiadomo, że się nie przyzna. Ale miał 2137 okazji żeby zaprzeczyć, tyle mi wystarczy

[chlop784]

jest tam tysiące sesji, wszystkie rozdzielone, nawet z tego samego ip, z tej samej przeglądarki...

@jagodowy_krol: tak z ciekawości, masz jakies ustawienia prywatności które ukrywają fingerprint przeglądarki (lub inne funkcjonalności zwiększające prywatność, które mogą powodować tworzenie nowej sesji za każdym razem)? u mnie było tylko kilka sesji (Edge na windows/Chromium na linux) - bez jakichkolwiek problemów.

[pietryna123]

@chlop784: Mi ciągle woła o kod sms nawet jak przeglądarkę dodam do zaufanych. Także, non stop generuje nowe sesje bo nawet nie umie zidentyfikować tej otwartej.

[rosomak94]

@jagodowy_krol: ( ͡º ͜ʖ͡º)

Coś o czym się nie wspomina, to konieczność 2FA jeśli ma się eWallet. Niemniej mogliby w końcu ogarnąć logowanie jak do banku.

[jagodowy_krol]

tak z ciekawości, masz jakies ustawienia prywatności które ukrywają fingerprint przeglądarki

@chlop784: raczej nie. stały user-agent, w ustawieniach też raczej nic dziwnego, nie mam czyszczenia cache czy historii po wyłączaniu. wszystko raczej na standardzie. Tyle, że korzystam z FF, ale nie wiem czy coś to zmienia.