Алексей Надёжин (ammo1) wrote,
Алексей Надёжин
ammo1

Category:

Огромная дыра в Avito - любой аккаунт ничего не стоит взломать

Каждый раз, натыкаясь на такое, я не перестаю удивляться, как это возможно, что у большой компании могут быть ТАКИЕ дыры в безопасности.

В общем, если вы думаете, что продавая что-то с доставкой Авито, ваши деньги не могут украсть, вы ошибаетесь.




Выяснилось феноменальное: у Авито есть возможность изменения адреса электронной почту по телефону. Всё, что для этого нужно, позвонить с привязанного номера и сообщить, что хотите изменить E-mail.

О технической возможности подмены номера при звонке я писал ещё три года назад (https://ammo1.livejournal.com/996419.html). После истории с Навальным о такой возможности узнали все, кроме поддержки Авито.



Любой мелкий жулик может воспользоваться приложением для подмены номера и изменить E-mail в вашем аккаунте Avito. А изменив Email, он сможет изменить и пароль, воспользовавшись функцией восстановления пароля. При этом на старый (настоящий) Email никакие уведомления не приходят.



При отправке товара доставкой Avito, на этикетке посылки обязательно указывается номер телефона продавца, привязанный к аккаунту Avito. Этот номер может видеть множество людей, начиная от приёмщика в пункте Boxberry или в отделении Почты России и заканчивая всеми, кто участвует в доставке. На любом этапе достаточно сделать одну фотографию посылки, чтобы заполучить номер телефона. А дальше всё просто: e-mail меняют сразу, дожидаются, когда покупатель забирает посылку, тут же меняют пароль, заходят в аккаунт и выводят деньги на свою карту.

То, что в аккаунт заходят из другой страны, Avito совершенно не смущает, а вот такое предупреждение приходит уже на чужой email.



Авито также совершенно не смущает, что все манипуляции с аккаунтом происходят в тот момент, когда осуществляется доставка Авито.


Пользуясь этой нехитрой махинацией, злоумышленники украли 119 000 рублей только за одну доставку, но наверняка такая история не единична.

Пострадавший провёл своё расследование и подробно описал всю историю тут.


Очень хочется надеяться, что Авито обратит внимание на эту ситуацию и как минимум добавит оповещение на старый Email при попытке сменить e-mail по телефону, и подтверждение этого действия по СМС.

А ещё будет правильно, если Авито возместит все потери пострадавшим от дыры в безопасности "Безопасной сделки Авито-доставка".


© 2021, Алексей Надёжин




Десять лет я каждый день пишу о технике, скидках, интересных местах и событиях. Читайте мой блог на сайте ammo1.ru, в ЖЖ, Дзен, МирТесен, Telegram.
Мои проекты:
Lamptest.ru. Тестирую светодиодные лампы и помогаю разобраться, какие из них хорошие, а какие не очень.
Elerus.ru. Собираю информацию об отечественных электронных устройствах для личного использования и делюсь ей.
Вы можете связаться со мной в Телеграм @ammo1 и по почте ammo1@mail.ru.
Tags: Безопасность, Мошенничество
Subscribe

Recent Posts from This Journal

  • Я нашёл идеальный насос для колодца!

    Многолетние поиски увенчались успехом. Я всё-таки нашёл идеальный насос для неглубокого колодца. Не очень большой, не очень тяжёлый, с оптимальной…

  • Евровидение DIY

    За большинством участников Евровидения стояли большие команды продюсеров, композиторов и хореографов, но на Евровидении-2021 был один участник,…

  • Впервые за год зашёл в Дикси. Обманули на 70 рублей

    Магазин Дикси ближайший к моему дому, но я давно туда не хожу. Недавно был ливень и я всё же решил зайти по пути. Понял, что главная тайна Дикси,…

  • Термометр-гигрометр с Wi-Fi на батарейках

    Эта штука не только показывает температуру и влажность на своём экране, но и позволяет контролировать эти параметры, а также их изменение из любой…

  • Лучшие в мире батарейки по 13 рублей

    Протестировав эти батарейки, я сильно удивился. При самой низкой цене они превзошли по ёмкости и нагрузочной способности все топовые батарейки…

  • С нового года всё подорожает

    По информации из очень надёжного источника с 1 января в России вырастут цены на электронику и бытовую технику. Уже сейчас вся бытовая техника…

  • Осенне-весеннее водоснабжение на даче

    Раньше я всегда убирал на зиму насос, гидроаккумулятор и все трубы дачного водопровода. В этом году я решил поступить по-другом, сделав "лайт-версию"…

  • Сплавились аккумуляторы в UPS

    Столкнулся с неожиданным явлением. Аккумуляторы в UPS намертво сплавились между собой. Аккумуляторы стояли в APC Smart UPS 700, купленном на…

  • Екатерина Яшникова

    Мне тут радио подсунуло пару песен Екатерины Яшниковой и меня заинтересовало её творчество. Хочу показать вам. Этот клип вышел неделю назад.…

promo neferjournal 19:00, вчера 38
Buy for 200 tokens
Убейте, не понимаю. Вот есть удачные товары, которые всем нравятся, которые стоят недорого и реально стали хитами. Они выпускаются много лет и не перестают быть популярными. Вдруг - бац - снимают с производства. Почему? Были у меня треккинговые ботинки. QUECHUA - один из брендов Декатлона,…
  • Post a new comment

    Error

    Anonymous comments are disabled in this journal

    default userpic
  • 142 comments
Previous
← Ctrl ← Alt
Next
Ctrl → Alt →
Previous
← Ctrl ← Alt
Next
Ctrl → Alt →

Recent Posts from This Journal

  • Я нашёл идеальный насос для колодца!

    Многолетние поиски увенчались успехом. Я всё-таки нашёл идеальный насос для неглубокого колодца. Не очень большой, не очень тяжёлый, с оптимальной…

  • Евровидение DIY

    За большинством участников Евровидения стояли большие команды продюсеров, композиторов и хореографов, но на Евровидении-2021 был один участник,…

  • Впервые за год зашёл в Дикси. Обманули на 70 рублей

    Магазин Дикси ближайший к моему дому, но я давно туда не хожу. Недавно был ливень и я всё же решил зайти по пути. Понял, что главная тайна Дикси,…

  • Термометр-гигрометр с Wi-Fi на батарейках

    Эта штука не только показывает температуру и влажность на своём экране, но и позволяет контролировать эти параметры, а также их изменение из любой…

  • Лучшие в мире батарейки по 13 рублей

    Протестировав эти батарейки, я сильно удивился. При самой низкой цене они превзошли по ёмкости и нагрузочной способности все топовые батарейки…

  • С нового года всё подорожает

    По информации из очень надёжного источника с 1 января в России вырастут цены на электронику и бытовую технику. Уже сейчас вся бытовая техника…

  • Осенне-весеннее водоснабжение на даче

    Раньше я всегда убирал на зиму насос, гидроаккумулятор и все трубы дачного водопровода. В этом году я решил поступить по-другом, сделав "лайт-версию"…

  • Сплавились аккумуляторы в UPS

    Столкнулся с неожиданным явлением. Аккумуляторы в UPS намертво сплавились между собой. Аккумуляторы стояли в APC Smart UPS 700, купленном на…

  • Екатерина Яшникова

    Мне тут радио подсунуло пару песен Екатерины Яшниковой и меня заинтересовало её творчество. Хочу показать вам. Этот клип вышел неделю назад.…