Starbucks bị tiết lộ 3 lỗ hổng quan trọng

Bạn đã bao giờ đăng ký trên trang web Starbucks? Thay đổi mật khẩu của bạn ngay!

Nếu bạn là một trong hàng triệu khách hàng Starbucks đã đăng ký tài khoản và thông tin thẻ tín dụng trên trang web của Starbucks, thì chi tiết giao dịch và thẻ ngân hàng của bạn rất dễ bị tin tặc xâm nhập.

Một nhà nghiên cứu bảo mật độc lập, Mohamed Fouad M., người từ Ai Cập, đã tìm thấy ba lỗ hổng nghiêm trọng trên trang web Starbucks, những lỗ hổng này có thể cho phép kẻ tấn công chiếm tài khoản của bạn chỉ với một cú nhấp chuột.

Các lỗ hổng bao gồm:

• Remote Code Execution (Thực thi mã từ xa)
• Remote File Inclusion dẫn đến tấn công lừa đảo
• CSRF (Cross Site Request Forgery)

Trộm cắp chi tiết thẻ tín dụng

Trong trường hợp lỗ hổng Remote File Inclusion, kẻ tấn công có thể lây nhiễm một tập tin từ bất kỳ vị trí vào trang mục tiêu, trong đó bao gồm một mã nguồn để phân tích cú pháp và thực thi, cho phép kẻ tấn công thực hiện:

• Thực thi mã từ xa trên máy chủ web của công ty
• Thực thi mã từ xa trên máy con, cho phép kẻ tấn công thực hiện các cuộc tấn công khác như Cross-Site Scripting (XSS)
• Hành vi trộm cắp dữ liệu hoặc thao tác dữ liệu thông qua các cuộc tấn công lừa đảo trực tuyến là nhằm chiếm quyền điều khiển tài khoản có chứa chi tiết thẻ tín dụng của khách hàng

Cướp tài khoản cửa hàng Starbucks sử dụng CSRF

CSRF hay Cross-Site Request Forgery là một phương pháp tấn công một trang web, trong đó kẻ xâm nhập giả dạng một người dùng hợp pháp. Tất cả những gì kẻ tấn công cần phải làm là lấy được trình duyệt mục tiêu để thực hiện yêu cầu đến trang web trên danh nghĩa của họ, nếu họ có thể:

• Thuyết phục người dùng nhấp chuột vào trang HTML của họ
• Chèn mã HTML tùy ý trong trang web mục tiêu

Trong trường hợp này, kẻ tấn công có thể sử dụng CSRF để lừa nạn nhân nhấp chuột vào một URL thay đổi thông tin tài khoản lưu trữ của người dùng bao gồm cả mật khẩu tài khoản. Điều này có thể cho phép kẻ tấn công cướp tài khoản, xóa tài khoản hoặc thay đổi địa chỉ email của nạn nhân.

Fouad cũng đã cung cấp một video trình diễn như một Proof of Concept cho thấy cách cuộc tấn công hoạt động.

Là hacker mũ trắng, Fouad đã thông báo lỗ hổng nghiêm trọng đến Starbucks hai lần nhưng không nhận được bất kỳ phản hồi nào. Fouad sau đó báo cáo các sai sót tương tự tới US-CERT, nơi khẳng định các lỗ hổng đã được nhóm Starbucks sửa chữa gần mười ngày trước.

Tuy nhiên, Fouad vẫn đang chờ đợi phản hồi và phần thưởng của mình từ Starbucks, khi công ty bắt đầu chương trình bug bounty cách đây hai tháng.

THN