T-Mobile网站的又曝漏洞：任何人只需一个 *** 号码就可以访问客户信息
T-Mobile客户：您的数据又一次遭到了威胁。这一次的罪魁祸首似乎是一个名为“copypasta”的bug，一位安全研究人员最近在T-Mobile的网站上公开可见的一个子域中发现了一个bug，这个bug让任何人都只用一个 *** 号码就可以访问客户数据。感觉T-Mobile想要赢一个更佳bug奖。
这一次，在promotool.t-mobile.com上的一个被隐藏得不够明显的API中，这显然是一个针对员工的“Customer Care Portal”，它允许任何人通过将客户的 *** 号码附加到这个URL的末端来访问T-Mobile客户数据- 不需要密码。
据ZDNet称，这样做会泄露客户的全名，账单账号，账户状态信息（例如过期账单或账户暂停）以及账户PIN（用于启动客户服务交互）。在某些情况下，税务识别号码会被暴露。
安全研究员Ryan Stevenson发现了这个bug，并在4月初向T-Mobile报告，为此他收到了1000美元的bug奖励。在Stevenson提醒他们的一天之后，这家运营商终止了该API。
“我们已经快速了修复了该错误，而且我们没有证据显示有任何客户信息都被访问过，”T-Mobile发言人告诉ZDNet。
这应该听起来很熟悉，因为去年秋天它曾出现过类似的bug。在这种情况下，尽管T-Mobile宣称它在24小时内进行了纠正，但黑客似乎还是有几周的时间可以利用这个漏洞。去年年底，该运营商解决了暴露用户登录记录的另一个网站bug。
如果您是T-Mobile的客户，并认为您的个人信息被盗，并被用于了设置新帐户或对当前帐户进行更改，您可以与运营商合作纠正这种情况。
稿源：搜狐科技，封面源自 *** ；
“T-Mobile网站的又曝漏洞：任何人只需一个 *** 号码就可以访问客户信息” 的相关文章
Atlassian 解决了一个关键的 Jira 身份验证绕过漏洞
Atlassian解决了其Jira Seraph软件中的一个严重漏洞，该漏洞编号为CVE-2022-0540（CVSS 评分 9.9），未经身份验证的攻击者可以利用该漏洞绕过身份验证。威胁参与者可以通过向易受攻击的软件发送特制的HTTP 请求来触发漏洞。 该漏洞会对Jira软件多版本产生影响，比如...
开源倡议组织就俄乌冲突期间的乱象表态 不希望将开源工作“武器化”
在俄乌冲突爆发后的一个月时间里，许多组织机构纷纷颁布了针对俄罗斯的制裁。但是对于开源社区来说，将制裁的范围无限扩大，显然并不是声援乌克兰的最佳途径。开放源码倡议（Open Source Initiative）组织指出：尽管大多数软件开发者只是在运行时显示反战或亲乌克兰的信息，但还是有个别项目的维护者...
乌克兰和美国在俄对乌采取军事行动前成为网络攻击目标
现在，不少新报告指出了跟俄罗斯对乌克兰采取的军事行动直接或间接有关的黑客行动。许多专家预测，俄罗斯将在乌克兰发动重大网络攻击，如关闭该国的电网。虽然大规模的行动还没有实现，但关于小规模攻击的报告已经开始出现。 当地时间周一，Google表示，它发现了针对乌克兰官员和波兰军队的广泛的网...
3 月份近 90% 的网络攻击是针对俄罗斯和乌克兰的
我们已经习惯了来自俄罗斯的大量网络攻击，但在乌克兰被入侵后出现了一个有趣的转变，3月份70%的网络攻击反过来都是针对俄罗斯的。Atlas VPN的研究显示，还有19%的攻击是针对乌克兰的。美国是第三大目标，但国际局势让针对该国的攻击只占总数的5%。 3月5日，随着匿名黑客宣布对俄罗斯进行全面的网络...
僵尸网络 Kraken 轻松骗过 Windows Defender 并窃取加密货币钱包数据
微软最近对Windows Defender的排除权限进行了更新，没有管理员权限就无法查看排除的文件夹和文件。这是一个重要的变化，因为威胁者往往会利用这一信息在这种被排除的目录中提供恶意软件的载荷，以绕过防御者的扫描。 然而，这可能无法阻止ZeroFox最近发现的一个名为Kraken的新僵尸网络。这...
伦敦警方指控两名少年多项网络罪名 涉嫌参与 Lapsus$
针对黑客组织 Lapsus$ 的专项打击活动仍在继续，就在一周前逮捕 7 名青少年之后，英国警方指控 2 名青少年犯有多项网络罪行。目前这 2 人仍处于拘留中，并将于本周五晚些时候在海布里角地方法院出庭。 在周五的一份声明中，伦敦市警察局探长迈克尔·奥沙利文表示这两名年龄分别为 16 岁和 17...
评论列表
发表评论
