นักวิจัยด้านความปลอดภัยแก้ปัญหา Quandry บัตรเครดิตเว็บไซต์ Ticketmaster

Live Nation บันเทิง

เมื่อเร็ว ๆ นี้ Ticketmaster ต้องแก้ไขการละเมิดที่ค่อนข้างร้ายแรงซึ่งอาจนำไปสู่การรั่วไหลของข้อมูลรับรองบัตรเครดิตของลูกค้าหลายพันราย พวกเขาพยายามอย่างเต็มที่ในการแก้ไขปัญหา แต่มีคนหนึ่งคิดว่าเขาได้แก้ไขสิ่งที่กระตุ้นให้เกิดการโจมตีตั้งแต่แรก

Kevin Beaumont หนึ่งในนักวิจัยด้านความปลอดภัยดิจิทัลชั้นนำของสหราชอาณาจักรเชื่อว่าเขารู้ดีว่าเวกเตอร์การโจมตีคืออะไร Inbenta ได้จัดหาแชทบอทสำหรับผู้ดูแลเว็บที่ทำงานโดยการเรียกไฟล์ JavaScript จากเซิร์ฟเวอร์ระยะไกลของ Inbenta

HTML บรรทัดเดียวถูกใช้เพื่อเรียกส่วนนี้ของ JavaScript โดยเฉพาะ Beaumont ให้ความเห็นว่า Inbent จัดหา Ticketmaster พร้อมด้วย JavaScript one-liner ตัวเดียวซึ่งพวกเขาอาจใช้ในหน้าชำระเงินโดยไม่ได้รับแจ้งช่างเทคนิคของ Inbenta เนื่องจากตอนนี้รหัสอยู่บนไซต์ประมวลผลการชำระเงินของ Ticketmaster รหัสจึงถูกวางไว้ตามหน้าที่ในธุรกรรมบัตรเครดิตทั้งหมดที่ผ่านไซต์

จากนั้นโค้ด JavaScript สามารถเรียกใช้ตามทฤษฎีของ Beaumont ในเบราว์เซอร์ของลูกค้าจากหน้าเดียวกับข้อมูลบัตรเครดิตของพวกเขา ต้องมีคนแก้ไขโค้ดและมอบอำนาจให้ทำบางอย่างที่เป็นอันตรายเมื่อพวกเขาทำเช่นนั้น

งานวิจัยของเขาดูเหมือนจะระบุว่าเครื่องมือป้องกันมัลแวร์กำลังทำงานอยู่ ซอฟต์แวร์รักษาความปลอดภัยบางตัวสามารถเริ่มตั้งค่าสถานะสคริปต์ได้หลายเดือนก่อนที่ตัวแทนของ Ticketmaster จะประกาศว่ามีการละเมิดเกิดขึ้น เห็นได้ชัดว่าไฟล์ JavaScript ถูกอัปโหลดไปยังเครื่องมือข่าวกรองภัยคุกคามบางอย่างซึ่งมีความเป็นไปได้สูงว่าพวกเขาจะสามารถจับการละเมิดได้อย่างไร

ผู้เชี่ยวชาญคนอื่น ๆ ได้แสดงความกังวลเกี่ยวกับการพึ่งพาไลบรารี JavaScript และความเกี่ยวข้องกับการละเมิดประเภทนี้อย่างไร เป็นเรื่องปกติที่ผู้เขียนโค้ดจะใช้ที่เก็บ git เพื่อแก้ปัญหาการพึ่งพาของบุคคลที่สามเพื่อใช้กรอบงาน JavaScript บางอย่างที่ทำให้งานง่ายขึ้น

แม้ว่านี่จะเป็นวิธีการใช้โค้ดซ้ำที่มีประสิทธิภาพ แต่ก็มีความเสี่ยงที่การอ้างอิงเหล่านี้บางส่วนอาจมีบางอย่างที่เป็นอันตราย ที่เก็บข้อมูลเหล่านี้หลายแห่งมักตกเป็นเหยื่อของแครกเกอร์ที่ใช้ในทางที่ผิดเช่นกันซึ่งหมายความว่าสามารถแปลรหัสที่ไม่ได้ตรวจสอบไปยังตำแหน่งอื่น ๆ เพิ่มเติมเพื่อหาทางไปสู่ฐานที่ถูกต้องตามกฎหมาย

เป็นผลให้บางคนแสดงความประสงค์ที่จะให้ความสำคัญกับขั้นตอนการตรวจสอบรหัสที่เข้มงวดมากขึ้นเพื่อลดความเสี่ยงของปัญหาประเภทนี้