Một 'Lỗi Đơn giản Đáng sợ' Đặt Hàng Triệu Tài Khoản Khách Hàng của Cox Communications Trong Tình trạng Rủi ro

Các nhà nghiên cứu an toàn thông tin thường xuyên tiết lộ các lỗ hổng mà họ phát hiện trong các ứng dụng và trang web khác nhau trên Internet. Đôi khi, những lỗ hổng này cực kỳ phức tạp để khai thác, chứng minh sự chuyên nghiệp của một nhà nghiên cứu hơn là một điều mà người tiêu dùng thông thường nên lo lắng. Trong các kịch bản khác, các nhà phân tích phát hiện ra những lỗ hổng đơn giản mà một người mới có thể sử dụng để đánh cắp thông tin. Đây là một trường hợp của trường hợp thứ hai.

Trong tháng này, một đôi nghiên cứu đã phát hiện một vấn đề đơn giản trên trang web của Cox Communications, một nhà cung cấp cáp và Internet tại Hoa Kỳ với khoảng sáu triệu khách hàng. Vấn đề mà họ phát hiện sẽ cho phép những kẻ tấn công chiếm quyền kiểm soát tài khoản người dùng và truy cập vào thông tin nhạy cảm như thông tin thanh toán. Cox Communications đã vá lỗ hổng chưa được báo cáo trước đó sau khi MYTOUR liên hệ, và không có bằng chứng nào cho thấy thông tin khách hàng bị mất mát.

Vấn đề an toàn liên quan đến cách Cox Communications trước đây cho phép khách hàng đặt lại mật khẩu tài khoản trực tuyến của họ. Ngoài việc trả lời một câu hỏi bảo mật hoặc phản hồi qua email, người ta có thể chọn nhận cuộc gọi điện thoại, với một giọng nói tự động đọc cho họ một mã đặc biệt. Nhưng một hacker có thể thay đổi số điện thoại liên kết với tài khoản từ trang web, chỉ cần sử dụng User ID hoặc địa chỉ email cox.net của khách hàng, cho phép họ chặn mã họ. Sau đó, họ có thể đặt lại tài khoản và truy cập thông tin thanh toán và thông tin khách hàng khác. Nếu họ chỉ quan tâm đến việc đánh cắp thông tin, chứ không phải là một cuộc tấn công nhắm mục tiêu cụ thể, họ cũng có thể đoán tên người dùng ngẫu nhiên.

"Cox đặt sự an toàn của tài khoản khách hàng rất nghiêm túc và chúng tôi nhanh chóng giải quyết bất kỳ lỗ hổng nào được xác định. Ngay khi Cox được thông báo về vấn đề này, chúng tôi đã hành động nhanh chóng để khắc phục," một người phát ngôn của công ty nói trong một tuyên bố. "Trong khi cuộc điều tra của chúng tôi tiếp tục, chúng tôi không tin rằng lỗ hổng này đã được sử dụng bên ngoài bài kiểm tra do nhà nghiên cứu bảo mật thực hiện. Nếu khách hàng cá nhân bị ảnh hưởng, Cox sẽ thông báo cho họ."

Người phát ngôn từ chối chỉ định rõ dữ liệu của khách hàng nào có thể bị lỗ hổng, và liệu mọi khách hàng của Cox có tài khoản trực tuyến không. (Có khả năng chỉ những người chọn thanh toán hóa đơn hoặc quản lý dịch vụ trực tuyến mới bị ảnh hưởng.)

"Thường thì việc chiếm đoạt tài khoản có nhiều bước phức tạp và rối rắm hơn, nhưng đây là lỗ hổng đầu tiên mà tôi phát hiện ra là đáng sợ đơn giản," nói Nicholas "Convict" Ceraolo, một trong những nhà nghiên cứu bảo mật, người cùng đối tác Ryan "Phobia" Stevenson, phát hiện ra lỗ hổng này. Cùng đôi này cũng đã phát hiện ra một lỗ hổng tương tự trên trang web của nhà cung cấp dịch vụ TV và internet Spectrum, được báo cáo vào tháng 8. Nó có thể đã cho phép những kẻ tấn công chiếm đoạt tài khoản chỉ bằng địa chỉ IP của khách hàng.

Spectrum và Cox cũng không phải là những nhà cung cấp cáp duy nhất gặp vấn đề bảo mật tương tự trong năm nay. Cũng vào tháng 8, một nhà nghiên cứu khác phát hiện ra hai lỗ hổng trên trang web của Comcast Xfinity, vô tình làm lộ ra địa chỉ gần đúng của khách hàng và bốn chữ số cuối cùng của số An sinh xã hội của họ.

Bằng cách truy cập vào tài khoản cáp hoặc internet của bạn, một kẻ tấn công không nhất thiết có thể gây nhiều tổn thất. Nhưng bằng cách sử dụng thông tin cá nhân nhạy cảm mà họ tìm thấy, bao gồm địa chỉ nhà của bạn, họ có thể giả mạo bạn ở nơi khác, chẳng hạn như đến ngân hàng của bạn. Trong quá khứ, hacker đã sử dụng chi tiết nhận diện cá nhân để thực hiện các cuộc tấn công như chuyển đổi SIM, nơi họ giả mạo bạn với nhà cung cấp điện thoại di động của bạn. Sau đó, họ có thể chuyển thông tin của bạn sang một điện thoại thông minh mới mà họ kiểm soát. May mắn trong trường hợp này, dường như không có tài khoản Cox nào bị đe dọa, và lỗ hổng đã được khắc phục.

• Lịch sử kỳ lạ của cảnh báo văn bản tổng thống
• Bên trong hội nghị bí mật lập kế hoạch ra mắt ô tô bay
• Đã đến lúc nói về định kiến giới tính của robot
• Thành phố hợp tác để cung cấp broadband và FCC tức giận
• HÌNH ẢNH: Thời kỳ hoàng kim của chương trình tàu con thoi
• Nhận thêm nhiều thông tin nội bộ của chúng tôi với bản tin hàng tuần Backchannel của chúng tôi