Алексей Надёжин (ammo1) wrote,
Алексей Надёжин
ammo1

Category:

Огромная дыра в Avito - любой аккаунт ничего не стоит взломать

Каждый раз, натыкаясь на такое, я не перестаю удивляться, как это возможно, что у большой компании могут быть ТАКИЕ дыры в безопасности.

В общем, если вы думаете, что продавая что-то с доставкой Авито, ваши деньги не могут украсть, вы ошибаетесь.




Выяснилось феноменальное: у Авито есть возможность изменения адреса электронной почту по телефону. Всё, что для этого нужно, позвонить с привязанного номера и сообщить, что хотите изменить E-mail.

О технической возможности подмены номера при звонке я писал ещё три года назад (https://ammo1.livejournal.com/996419.html). После истории с Навальным о такой возможности узнали все, кроме поддержки Авито.



Любой мелкий жулик может воспользоваться приложением для подмены номера и изменить E-mail в вашем аккаунте Avito. А изменив Email, он сможет изменить и пароль, воспользовавшись функцией восстановления пароля. При этом на старый (настоящий) Email никакие уведомления не приходят.



При отправке товара доставкой Avito, на этикетке посылки обязательно указывается номер телефона продавца, привязанный к аккаунту Avito. Этот номер может видеть множество людей, начиная от приёмщика в пункте Boxberry или в отделении Почты России и заканчивая всеми, кто участвует в доставке. На любом этапе достаточно сделать одну фотографию посылки, чтобы заполучить номер телефона. А дальше всё просто: e-mail меняют сразу, дожидаются, когда покупатель забирает посылку, тут же меняют пароль, заходят в аккаунт и выводят деньги на свою карту.

То, что в аккаунт заходят из другой страны, Avito совершенно не смущает, а вот такое предупреждение приходит уже на чужой email.



Авито также совершенно не смущает, что все манипуляции с аккаунтом происходят в тот момент, когда осуществляется доставка Авито.


Пользуясь этой нехитрой махинацией, злоумышленники украли 119 000 рублей только за одну доставку, но наверняка такая история не единична.

Пострадавший провёл своё расследование и подробно описал всю историю тут.


Очень хочется надеяться, что Авито обратит внимание на эту ситуацию и как минимум добавит оповещение на старый Email при попытке сменить e-mail по телефону, и подтверждение этого действия по СМС.

А ещё будет правильно, если Авито возместит все потери пострадавшим от дыры в безопасности "Безопасной сделки Авито-доставка".


© 2021, Алексей Надёжин




Десять лет я каждый день пишу о технике, скидках, интересных местах и событиях. Читайте мой блог на сайте ammo1.ru, в ЖЖ, Дзен, МирТесен, Telegram.
Мои проекты:
Lamptest.ru. Тестирую светодиодные лампы и помогаю разобраться, какие из них хорошие, а какие не очень.
Elerus.ru. Собираю информацию об отечественных электронных устройствах для личного использования и делюсь ей.
Вы можете связаться со мной в Телеграм @ammo1 и по почте ammo1@mail.ru.
Tags: Безопасность, Мошенничество
Subscribe

  • Поддельные батарейки в магазинах Светофор

    Много я всякого повидал, но впервые сталкиваюсь с тем, что солевые батарейки выдают за щелочные (Alkaline). Вчера я купил в магазине Светофор на…

  • Батарейки Фотон

    За последний месяц я протестировал много батареек AA и AAA, которые не тестировал ранее. Начнём с батареек Фотон. В конце прошлого года у…

  • Большой тест батареек Крона

    Весной я протестировал 9 батареек типа "Крона". Тогда был жёсткий карантин и в тест попали лишь те батарейки, которые удалось купить в ближайших…

  • Аккумуляторы против батареек

    Номинальное напряжение щелочных батареек 1.5 вольта, а номинальное напряжение NiMh-аккумуляторов 1.2 вольта, из-за этого многие думают, что…

  • Заряжаем обычные батарейки

    Многие из вас удивятся, когда узнают, что обычные щелочные (alkaline) батарейки можно заряжать с помощью специального зарядного устройства. Я провёл…

  • Тестирование батареек выходит на новый уровень: анализатор Яростанмаш

    Сегодня ко мне в гости приезжал Ярослав Меньшиков, создатель самого совершенного прибора для тестирования батареек и аккумуляторов. А ещё он сделал…

  • И снова о протечке батареек

    Месяц назад я писал, что почти невозможно встретить неиспользованную потёкщую щелочную (alkaline) батарейку ( ammo1.livejournal.com/1137328.html). Я…

  • Тест батареек Крона

    Мне всегда было интересно, как дорогие батарейки отличаются от дешёвых и насколько велико отличие солевых и щелочных батареек. Я протестировал 12…

  • Может ли протечь дорогая alkaline батарейка

    Очень часто, когда я пишу о батарейках, я сталкиваюсь с двумя предрассудками: 1. Текут только солевые батарейки; 2. Дорогие щелочные батарейки точно…

Buy for 200 tokens
Однажды, лет дцать назад, я пришла в этот театр и была поражена внешним видом здания. Мрачное, громоздкое, с массивными светильниками на фасаде, оно произвело на меня подавляющее впечатление. Я съежилась и прошмыгнула внутрь. Недавно совершила попытку посмотреть на странное здание театра с другой…
  • Post a new comment

    Error

    Anonymous comments are disabled in this journal

    default userpic
  • 143 comments
Previous
← Ctrl ← Alt
Next
Ctrl → Alt →
Previous
← Ctrl ← Alt
Next
Ctrl → Alt →

  • Поддельные батарейки в магазинах Светофор

    Много я всякого повидал, но впервые сталкиваюсь с тем, что солевые батарейки выдают за щелочные (Alkaline). Вчера я купил в магазине Светофор на…

  • Батарейки Фотон

    За последний месяц я протестировал много батареек AA и AAA, которые не тестировал ранее. Начнём с батареек Фотон. В конце прошлого года у…

  • Большой тест батареек Крона

    Весной я протестировал 9 батареек типа "Крона". Тогда был жёсткий карантин и в тест попали лишь те батарейки, которые удалось купить в ближайших…

  • Аккумуляторы против батареек

    Номинальное напряжение щелочных батареек 1.5 вольта, а номинальное напряжение NiMh-аккумуляторов 1.2 вольта, из-за этого многие думают, что…

  • Заряжаем обычные батарейки

    Многие из вас удивятся, когда узнают, что обычные щелочные (alkaline) батарейки можно заряжать с помощью специального зарядного устройства. Я провёл…

  • Тестирование батареек выходит на новый уровень: анализатор Яростанмаш

    Сегодня ко мне в гости приезжал Ярослав Меньшиков, создатель самого совершенного прибора для тестирования батареек и аккумуляторов. А ещё он сделал…

  • И снова о протечке батареек

    Месяц назад я писал, что почти невозможно встретить неиспользованную потёкщую щелочную (alkaline) батарейку ( ammo1.livejournal.com/1137328.html). Я…

  • Тест батареек Крона

    Мне всегда было интересно, как дорогие батарейки отличаются от дешёвых и насколько велико отличие солевых и щелочных батареек. Я протестировал 12…

  • Может ли протечь дорогая alkaline батарейка

    Очень часто, когда я пишу о батарейках, я сталкиваюсь с двумя предрассудками: 1. Текут только солевые батарейки; 2. Дорогие щелочные батарейки точно…