חברה ישראלית גילתה פירצת אבטחה באתר אמזון
הכשל, שהתגלה על ידי חברת Beyond Security, מאפשר לתוקף לשתול עמודים מזויפים של האתר, שכאשר הגולש מופנה אליהם, ניתן לגנוב את קובץ ה-cookie שלו או לגרום לו לרכוש מוצר שלא רצה בו
פירצת אבטחה שהתגלתה באתר המכירות אמזון, מאפשרת לתוקף להפנות גולשים לדף מזויף, שבאמצעותו ניתן לגנוב את קובץ ה-Cookie שלהם, להונות אותם ולגרום להם לרכוש מוצרים בהם לא רצו ולהזמין מוצרים בשמם.
את הפירצה, מסוג Cross Site Scripting (או XSS), גילה עמי חיון מחברת האבטחה הישראלית Beyond Security, והיא מאפשרת לשנות את תצורת הדף בו צופה בגולש, וכן את תוכנו.
"הפירצה לא תשנה את מאגר הנתונים של אמזון, אבל היא מאפשרת להציג לגולש דף של אמזון, שבו כתוב, למשל, על מכירת חיסול של דיסקים ב-99 סנט. כשהגולש יגיע לקופה, הוא יגלה שחייבו אותו ביותר כסף", הסביר אבירם חניק, מנכ"ל Beyond Security.
פירצה קריטית עבור משתמשים רשומים
המתקפה יכולה להתבצע בעזרת ניצול שירות ה-Affiliates של אמזון, במסגרתו מציבים אתרים שונים קישורים לרכישת מוצרים באמזון, ואף מעודדים את הגולשים להגיע לחנות המקוונת באמעצות קישורים קניינים שלהם, שמזכים אותם בעמלה על המכירה.
כך יכול התוקף לבנות קישור ש"בונה" דף חדש באמזון, למשל כזה המציג מחיר שונה למוצר או מספק ביקורת מזויפת על ספר, ולחילופין, גונב את קובץ ה-Cookie של המשתמש. לדברי חניק, במקרה זה גניבת ה-Cookie אינה מהווה סכנה קריטית לכלל המשתמשים, מאחר והיא מאפשרת לצפות במידע מוגבל, כגון שם וכתובת דואר אלקטרוני, ועל מנת לבצע פעולות יש לנחש את הסיסמה.
לכן, לדבריו, "קבוצת הסיכון העיקרית היא משתמשים עם סיסמה קלה לניחוש, ולקוחות שהפעילו את תכונת ה-1-Click (קניה באמצעות לחיצה יחידה, ומשלוח לכתובת המאוחסנת באמזון - ר.ש.) של אמזון, שעלולה לאפשר לתוקף להזמין ספרים בשמם. נוסף על כך, גולשים רבים רגילים להגיע לאמזון דרך לינקים של אתרי צד ג', וזה מגביר את הסיכון.
מה אפשר לעשות?
"אנחנו ממליצים לוודא שהסיסמה שנבחרה קשה מאוד לניחוש, וכן מציעים לגולשים לא להשתמש בשירות 1-Click לפחות עד שהפירצה תתוקן".
אמזון, שקיבלה מידע על הפירצה לפני מספר שבועות, חסמה אותה באופן נקודתי בלבד, אולם לדברי חניק, "הם לא טרחו לבדוק אם יש עוד מקומות בדף שבהם אפשר לבצע מתקפה דומה, ולכן, כאשר ביצענו בדיקה חוזרת איתרנו מקום נוסף בו ניתן לנצל את הכשל. הם לא פתרו את הבעיה, אלא 'כיסו' אותה. הודענו להם גם על ההתקפה החדשה ועדיין לא קיבלנו תשובה", אמר.
הוא מסביר כי מתקפות XSS, להן חשופים יותר ויותר אתרים, ידועות מזה מספר שנים, ו"הפתרון האמיתי לבעיה היא לבצע בדיקה באמצעות כלים אוטומטים שמוצאים סוג כזה של פרצות. ברגע שיודעים איפה הפרצות, אפשר בקלות לחסום אותן על ידי שינויים פשוטים בקוד האתר. לצערנו, רק אמזון יכולה לעשות את השינויים האלה".
אמזון. "רק כיסו את הפירצה"
מומלצים
