אתם מפעילים דוא"ל ובלוג ב-ICQ? אתם בצרות
צוות "התקיפה" בחברת הייעוץ לאבטחת מידע Avnet מתריע כי איתר מספר פרצות אבטחה באפליקציית האינטרנט של ICQ ובשירות הדוא"ל שהיא מספקת. איתור הפרצות התבצע כחלק מפעולה שגרתית של צוות התקיפה ב-Avnet, הבוחן כל העת, לפי דרישת לקוחות החברה, פרצות בכלי חומרה ותוכנה שמשמשים עובדים בארגונים שונים במשק.
אחראים לאיתור הפרצות - ניר גולדשלגר ורוני בכר דיווחו היום, כי הצוות שלהם ב-Avnet יצר קשר עם אנשי הטכנולוגיה של ICQ, כבר ב-2 ביולי, יידע אותם על הממצאים ואף מסר מידע טכני שיוכל לסייע בידיהם בתיקון הפרצות.
מבדיקות חוזרות שביצע צוות התקיפה, עולה כי מרבית הפרצות אכן תוקנו וכי עדיין קיימת בעיית אבטחה קריטית באפליקציית הדוא"ל.
הפרצות שאותרו בחברת המסרים המיידים אפשרו כניסה לא מאושרת למערכת ה-ICQ CLIENT וה- BLOG האישי של המשתמש ברמת עריכה וביצוע פעולות. פרצות אלה אפשרו לגורם עוין לשנות את פרטי המשתמשים לחשיפה של תוכן ההודעות הנכנסות והיוצאות בתיבה, ולביצוע פעולות יזומות בשם הקורבן. כאמור, הפרצה שעדיין קיימת מאפשרת לגורם עוין חדירה לחשבונות הדוא"ל של המשתמשים.
ניר גולדשלגר ורוני בכר הסבירו, כי הפרצה בשירות הדוא"ל מתבצעת באמצעות שליחת הודעת דוא"ל המכילה קוד זדוני. קוד זה מופעל באופן מיידי מרגע קבלת הדוא"ל בתיבת המשתמש ועצם קריאתו, ללא צורך בהפעלה יזומה של מקבל הדוא"ל. לאחר הרצת ההתקפה ישלחו פרטי ההתחברות של הנמען לתוקף ויאפשרו לו לפעול בשמו ולהיכנס לחשבונו האישי. בנוסף, הפרצות שהתגלו מאפשרות פעולות רבות על המשתמש התמים בדרכים שונות ומגוונות בהן גניבת זהויות של המשתמשים, שבסופם יובילו לחשיפת מידע רגיש של המשתמש.
התקיפה באמצעות אפליקציית הבלוג אפשרה החדרת קוד עוין המפעיל את עצמו עם כניסת המשתמש התמים לדף הבלוג, ללא צורך בנקיטת פעולה יזומה על ידו. תקיפה זו היתה עלולה להוביל לשינוי נתונים רגישים בכתובת הדוא"ל וקבלת סיסמת המשתמש לתיבת התוקף על ידי שימוש במנגנון שכחתי סיסמא.
מנהל פעילות "חוסן" ב-Avnet, רוני בכר: "אנחנו מופתעים בכל פעם מחדש מקלות הראש שמייחסים אנשי טכנולוגיה לבעיות כאלה. לפני מס' חודשים איתרנו בעיה דומה בשירות הדוא"ל של יאהו וקודם לכן בשירות GMAIL. בשני המקרים הפרצות תוקנו לאחר קבלת הנחייה מקצועית שלנו וסיוע לאורך כל התהליך. ארגונים, ובמיוחד ספקי שירותים חייבים לגלות יותר אחריות כלפי המשתמשים שלהם ולעשות ככל יכולתם כדי להגן עליהן ועל המידע שהם יוצרים, על גבי הפלטפורמה שהם מספקים".
