Алексей Надёжин (ammo1) wrote,
Алексей Надёжин
ammo1

Category:

Огромная дыра в Avito - любой аккаунт ничего не стоит взломать

Каждый раз, натыкаясь на такое, я не перестаю удивляться, как это возможно, что у большой компании могут быть ТАКИЕ дыры в безопасности.

В общем, если вы думаете, что продавая что-то с доставкой Авито, ваши деньги не могут украсть, вы ошибаетесь.




Выяснилось феноменальное: у Авито есть возможность изменения адреса электронной почту по телефону. Всё, что для этого нужно, позвонить с привязанного номера и сообщить, что хотите изменить E-mail.

О технической возможности подмены номера при звонке я писал ещё три года назад (https://ammo1.livejournal.com/996419.html). После истории с Навальным о такой возможности узнали все, кроме поддержки Авито.



Любой мелкий жулик может воспользоваться приложением для подмены номера и изменить E-mail в вашем аккаунте Avito. А изменив Email, он сможет изменить и пароль, воспользовавшись функцией восстановления пароля. При этом на старый (настоящий) Email никакие уведомления не приходят.



При отправке товара доставкой Avito, на этикетке посылки обязательно указывается номер телефона продавца, привязанный к аккаунту Avito. Этот номер может видеть множество людей, начиная от приёмщика в пункте Boxberry или в отделении Почты России и заканчивая всеми, кто участвует в доставке. На любом этапе достаточно сделать одну фотографию посылки, чтобы заполучить номер телефона. А дальше всё просто: e-mail меняют сразу, дожидаются, когда покупатель забирает посылку, тут же меняют пароль, заходят в аккаунт и выводят деньги на свою карту.

То, что в аккаунт заходят из другой страны, Avito совершенно не смущает, а вот такое предупреждение приходит уже на чужой email.



Авито также совершенно не смущает, что все манипуляции с аккаунтом происходят в тот момент, когда осуществляется доставка Авито.


Пользуясь этой нехитрой махинацией, злоумышленники украли 119 000 рублей только за одну доставку, но наверняка такая история не единична.

Пострадавший провёл своё расследование и подробно описал всю историю тут.


Очень хочется надеяться, что Авито обратит внимание на эту ситуацию и как минимум добавит оповещение на старый Email при попытке сменить e-mail по телефону, и подтверждение этого действия по СМС.

А ещё будет правильно, если Авито возместит все потери пострадавшим от дыры в безопасности "Безопасной сделки Авито-доставка".


© 2021, Алексей Надёжин




Десять лет я каждый день пишу о технике, скидках, интересных местах и событиях. Читайте мой блог на сайте ammo1.ru, в ЖЖ, Дзен, МирТесен, Telegram.
Мои проекты:
Lamptest.ru. Тестирую светодиодные лампы и помогаю разобраться, какие из них хорошие, а какие не очень.
Elerus.ru. Собираю информацию об отечественных электронных устройствах для личного использования и делюсь ей.
Вы можете связаться со мной в Телеграм @ammo1 и по почте ammo1@mail.ru.
Tags: Безопасность, Мошенничество
Subscribe

Recent Posts from This Journal

  • Большой недостаток недорогих дифавтоматов

    Практически у всех недорогих дифавтоматов есть сущестенный недостаток, который не очевиден и о котором не пишут в характеристиках. На всякий…

  • СберШкаф

    Сегодня я получил посылку в самом неожиданном месте - в отделении Сбера, рядом с бабушками, оплачивающими квартиру и получающими пенсию. C…

  • У меня одно УЗО. Маловато!

    Когда я ставил квартирный электрощиток, казалось, что двенадцати модулей более, чем достаточно, сейчас понимаю, что надо было ставить как минимум на…

  • Wago: оригиналы и клоны

    Быстрозажимные коннекторы, разработанные немецкой фирмой Wago, простое и гениальное изобретение. Сфера их использования гораздо шире, чем соединение…

  • -31

    Я в гостинице где-то в лесу в тысяче километров от Москвы. На улице -31, Интернет почти не работает. В общем поста сегодня…

  • Tesla для народа

    Вполне возможно, что Xiaomi приступит к выпуску собственных электромобилей. Удивительно наблюдать, как компания, начавшая с модификации Android…

  • Можно ли покупать дешёвые зарядки

    Самая популярное зарядное устройство для смартфона на Aliexpress стоит всего 150 рублей. У него три порта, на нём написано "Quick Charge 3.0", 18W,…

  • В Беларуси другие лампочки

    Услышал тут удивительное. На Белорусский рынок поставляются светодиодные лампы нескольких российских брендов. Так вот эти лампы существенно…

  • Как песчинка сломала 1С

    Прочитал сегодня фееричную историю о том, как одна китайская песчинка привела к полной потере работоспособности российской 1С. Цитирую рассказ…

promo ammo1 февраль 14, 2017 19:00 164
Buy for 200 tokens
В отличие от обычных ламп накаливания, различающихся только мощностью и качеством изготовления, светодиодные лампы имеют много параметров, влияющих на качество и безопасность освещения. Я расскажу об основных параметрах светодиодных ламп и порекомендую, какие лампы лучше подойдут для дома.…
  • Post a new comment

    Error

    Anonymous comments are disabled in this journal

    default userpic
  • 139 comments
Previous
← Ctrl ← Alt
Next
Ctrl → Alt →
Previous
← Ctrl ← Alt
Next
Ctrl → Alt →

Recent Posts from This Journal

  • Большой недостаток недорогих дифавтоматов

    Практически у всех недорогих дифавтоматов есть сущестенный недостаток, который не очевиден и о котором не пишут в характеристиках. На всякий…

  • СберШкаф

    Сегодня я получил посылку в самом неожиданном месте - в отделении Сбера, рядом с бабушками, оплачивающими квартиру и получающими пенсию. C…

  • У меня одно УЗО. Маловато!

    Когда я ставил квартирный электрощиток, казалось, что двенадцати модулей более, чем достаточно, сейчас понимаю, что надо было ставить как минимум на…

  • Wago: оригиналы и клоны

    Быстрозажимные коннекторы, разработанные немецкой фирмой Wago, простое и гениальное изобретение. Сфера их использования гораздо шире, чем соединение…

  • -31

    Я в гостинице где-то в лесу в тысяче километров от Москвы. На улице -31, Интернет почти не работает. В общем поста сегодня…

  • Tesla для народа

    Вполне возможно, что Xiaomi приступит к выпуску собственных электромобилей. Удивительно наблюдать, как компания, начавшая с модификации Android…

  • Можно ли покупать дешёвые зарядки

    Самая популярное зарядное устройство для смартфона на Aliexpress стоит всего 150 рублей. У него три порта, на нём написано "Quick Charge 3.0", 18W,…

  • В Беларуси другие лампочки

    Услышал тут удивительное. На Белорусский рынок поставляются светодиодные лампы нескольких российских брендов. Так вот эти лампы существенно…

  • Как песчинка сломала 1С

    Прочитал сегодня фееричную историю о том, как одна китайская песчинка привела к полной потере работоспособности российской 1С. Цитирую рассказ…