אחרי הפרסום הקודם שהבאתי כאן בערוץ, דיברתי עם התוקף שמאחורי האירוע.
הוא שיתף אותי בפרטים טכניים על הדרך שבה, לטענתו, הצליח לגנוב את המידע.

לפי התוקף, הבעיה המרכזית של החברה הייתה ממשק API חיצוני שאפשר לקבל פרטי לקוח ללא הזדהות באמצעות מספר חשבון בלבד. מכיוון שמספרי החשבונות היו עוקבים, ניתן היה למשוך רשומה אחרי רשומה בקלות.
ממשק API נוסף אפשר לטענתו, להשיג מידע רגיש נוסף, בעזרת המידע שהושג מהממשק הקודם.
מהממשק API הנוסף הוא השיג כתובת מייל, מספרי רישיון נהיגה ו-4 ספרות אחרונות של מספר SSN.

לטענתו הוא הצליח לגנוב ככה כ-6.7 מיליון רשומות מבלי שהיה Rate Limiting אפקטיבי או זיהוי של כמות הבקשות החריגה, ה-WAF שהיה קיים לא עצר את הפעילות, ורק מנגנון Captcha, שהופעל בהמשך, הצליח לעצור את חלק מגניבת המידע....

מה אפשר ללמוד מזה אצלכם בארגון?

- לוודא שכל ממשק API רגיש עובר הזדהות והרשאות.

- לא להשתמש במספרים עוקבים למידע שמונגש דרך API.

- לוודא שיש לכם Rate Limiting וזיהוי אירועים שחורגים מהנורמה. (משיכה של 6.7 מיליון רשומות זה לגמרי משהו היה צריך להדליק נורה אדומה).

- מערכות WAF ומנגוני Captcha הם חשובים אבל תוודאו שהם מקונפגים כראוי, ולא סתם עוד Step בדרך של התוקף.

❌בסוף יש כאן תוקף שביצע מיליוני בקשות ומשך ים של מידע רגיש, ואף אחד לא זיהה כלום עד שהתוקף לא פנה עם דרישת כופר ויצא עם זה באופן פומבי.

ב-CenterPoint אישרו לבורסה שגורם לא מורשה השיג מידע אישי של לקוחות אך לא ציינו כי הייתה דרישת כופר.
עם זאת, התוקף טען שהוא ניסה לפנות לחברה עם דרישת הכופר בכל מיני דרכים אבל הם התעלמו ממנו.... (תמונה מצ"ב).