Luki w mBanku

Na początku były próby przechwycenia haseł dostępu do kont bankowych oraz numerów kart płatniczych klientów polskiej filii Citibanku. Następnie doszło do próby wyłudzenia pieniędzy z internetowych kont bankowych banku Inteligo. Tym razem mamy poważne luki w mBanku.Osoby posiadające konto w mBanku mogą bez problemu poprzez odpowiednią manipulację zmiennych poszerzyć swoje prawa użytkownika, co daje dostęp do niedostępnych z założenia sekcji panelu, takich jak zmiana limitów dla kart kredytowych, transakcji bezgotówkowych itp.
n
nProblem polega w głównej mierze w samej metodzie przesyłania informacji poprzez formularze gdzie wysyłana jest duża ilość informacji m.in.: każdorazowo imię, nazwisko, numer karty.
n
nKolejny problem dotyczy błędu SQL injection, który występuje na forum mBanku. Zmienne (np. w „Szukaj”) przekazywane były bezpośrednio do zapytań bez dodania „slashy”.
n
nCo ciekawsze, odkrywca błędu którym jest Michał Słowik przekazał te informacje do mBanku – omówił istotę błędu oraz metody jakimi można usterkę wyeliminować. Niestety informatyk mBanku po wysłuchaniu stwierdził, że informacje, jakie zostały przekazane nie są dziurą a niedociągnięciem. Przyznał racje, że przykładowy panel zmiany limitów nie powinien być dostępny dla użytkowników (zresztą jest nie ukończony) ale nie można dzięki niemu nic wykraść więc nie jest to dziurą.
n
nW momencie opisania artykułu, błąd SQL Injection na stronach mBanku został poprawiony niestety problem, jaki istnieje w panelu nadal jest aktywny.
n
nWięcej informacji na ten temat znajduje się na Michała Słowika (autora odkrycia błędu).
n
nOficjalne stanowisko mBanku:
n
n”W nawiązaniu do publikacji, która ukazała się w Państwa serwisie i dotyczyła wykrytej możliwości zmiany limitów kart debetowych, informuję, że sytuacja ta nie stanowiła zagrożenia dla bezpieczeństwa korzystania z systemu transakcyjnego mBanku.
n
nW celu zmiany limitów transakcyjnych karty konieczne było zalogowanie się do systemu transakcyjnego (ID, hasło) i potwierdzenie operacji hasłem jednorazowym.
n
nOperacja była możliwa jedynie dla kart debetowych zalogowanego klienta. Z chwilą otrzymania informacji (24.02.2004) o możliwości uruchomienia w serwisie transakcyjnym obecnie niedostępnych funkcjonalności kart debetowych, bank podjął natychmiastowe działania, które doprowadziły do eliminacji opisanej możliwości.
n
nW efekcie w dniu dzisiejszym o godz. 13:45 została wprowadzona modyfikacja serwisu kartowego mBanku, której wynikiem jest zablokowanie możliwości opisanej przez Państwa serwis.
n
nInformuję, że oficjalne udostępnienie w serwisie transakcyjnym funkcjonalności zmiany limitów kart debetowych planowane jest w marcu br.
n
nZ wyrazami szacunku
n
nSzymon Midera
nRzecznik Prasowy
nNaczelnik Wydziału Komunikacji i Zarządzania Marką”
n
nWięcej na