สามปีที่ผ่านมาฉันทำการตรวจสอบความปลอดภัยสำหรับเว็บไซต์อีคอมเมิร์ซขนาดใหญ่ เมื่อทำการตรวจสอบฉันพบปัญหาด้านความปลอดภัยร้ายแรงหลายประการที่อนุญาตให้เข้าถึงข้อมูลที่ไม่ควรเข้าถึงได้หลังจากทำธุรกรรมเสร็จสมบูรณ์ ในเว็บไซต์นี้มีความเสี่ยงที่สำคัญหลายประการ ก่อนอื่นคุณสามารถเห็นคำสั่งซื้อที่เข้ามาในเวลาจริง การทำธุรกรรมทั้งหมดจะถูกประมวลผลด้วยตนเองโดย บริษัท นี้ หากคุณดูการทำธุรกรรมคุณจะเห็นชื่อที่อยู่และปลายทางการจัดส่ง ฉันเห็นจุดการละเมิดสองจุดที่นี่ 1 - คุณสามารถแก้ไขการจัดส่งไปยังที่อยู่และส่งการจัดส่งถึงตัวคุณเองและ 2 - คุณสามารถโทรหาผู้ใช้ได้ทันทีตามที่มีการสั่งซื้อและทำการ "ยืนยันทางโทรศัพท์" เพื่อเข้าถึง ไปยังข้อมูลบัตรเครดิตด้วยวิศวกรรมสังคมขั้นพื้นฐาน
นอกจากนี้คุณยังสามารถเพิ่มข้อมูล CC และหมายเลขคำสั่งซื้อได้อีกเล็กน้อยจากนั้นเพียงจับคู่ ID คำสั่งซื้อและข้อมูลผู้ใช้
นี่คือทั้งหมดที่ใช้ฟังก์ชั่นที่เปิดเผยบนเว็บไซต์ของพวกเขาและแก้ไขค่าสองสามอย่าง ใช่ฉันกำลังคลุมเครือด้วยเหตุผล
ผู้อำนวยการฝ่ายการตลาดของ บริษัท นี้ได้รับการเตือนเกี่ยวกับความเสี่ยงเหล่านี้เมื่อสามปีที่แล้วและไม่ได้ทำการแก้ไขใด ๆ ฉันไม่สงสัยเลยว่าถ้าฉันสามารถหาคนอื่นได้ เว็บไซต์นี้ทำธุรกรรม 88K ต่อปีและมีคำสั่งซื้อทั้งหมดที่ประมวลผลยังคงอยู่ในข้อมูลและเข้าถึงได้
ดังนั้นคำถามด้านจริยธรรม…ฉันต้องทำอย่างไร บริษัท ของฉันไม่สนใจ ... ดังนั้นฉันจึงไม่สามารถรับความช่วยเหลือได้ ถ้าฉันติดต่อฝ่ายการตลาดเขาก็จะปกปิดลาของเขาและลาของทีมพัฒนาภายในที่ไร้ความสามารถ (ฟิวชั่นเย็น) ฉันจะติดต่อใครบางคนที่สูงขึ้น? ฉันจะไปรอบ ๆ บริษัท ของฉัน? ฉันเพียงแค่ขุดข้อมูลและขายให้กับคู่แข่งลบข้อมูล CC หรือไม่ ฉันจะทำอะไรรู้เรื่องนี้? มันจู้จี้กับฉันและฉันไม่สามารถปล่อยมันไปได้ นี่เป็นเพียงหนึ่งในหลาย ๆ เว็บไซต์ที่ฉันรู้จัก แต่ความง่ายในการเข้าถึงและการรับส่งข้อมูลที่สูงทำให้ฉันต้องไตร่ตรองอย่างมากในเรื่องนี้
The marketing director at this company was warned about these risks three years agoเอ่อ ... บริษัท นี้ไม่มี CTO หรือ CIO ที่ควรจะรายงานหรือไม่ ผู้อำนวยการฝ่ายการตลาดไม่ควรรับผิดชอบด้านไอที