Γραφεία υποστήριξης τρίτων μερών, όπως η αδέσμευτη απειλή στον κυβερνοχώρο

Με τα χρόνια, τόσο οι μεγάλες όσο και οι μικρές οργανώσεις έχουν αρχίσει να βασίζονται σε εργαλεία επικοινωνίας όπως το Slack για εσωτερική επικοινωνία και συνεργασία. Αλλά μια σοβαρή ευπάθεια μόλις αποκαλύφθηκε στις υπηρεσίες υποστήριξης τρίτων που θα μπορούσαν να επιτρέψουν σε οποιονδήποτε με την τεχνογνωσία να αποκτήσει πρόσβαση σε εμπιστευτικές εσωτερικές επικοινωνίες.

Σύμφωνα με την Inti De Ceukelaire, ο οποίος ανακάλυψε την ευπάθεια, ο καθένας μπορεί να αποκτήσει πρόσβαση στην εσωτερική επικοινωνία ακόμα και όταν ο διαχειριστής ή ο φύλακας δεν του έχει δώσει ρητά άδεια.

Χαλαρή, εύκολη στην αποτυχία

Αυτό καθίσταται ακόμη πιο κρίσιμο σε περίπτωση γραφείων υποστήριξης και εντοπισμού σφαλμάτων, όπου το σύστημα υποστήριξης βασίζεται σε παρόμοια αναγνωριστικά τομέα. Ο De Ceukelaire εκμεταλλεύτηκε αυτήν την ίδια μέθοδο για να περάσει.

Δημιούργησε έναν λογαριασμό στο GitHub και έφερε ένα εισιτήριο μέσω ηλεκτρονικού ταχυδρομείου. Μετά από αυτό, πήρε πρόσβαση στη διεύθυνση ηλεκτρονικού ταχυδρομείου. Αυτό χρησιμοποιήθηκε στη συνέχεια για να εγγραφεί στο Slack που χρησιμοποιούσε η εταιρεία για εσωτερικές επικοινωνίες.

Τα αυτοματοποιημένα γραφεία βοήθειας να κατηγορηθούν;

Το λογισμικό ή οι εφαρμογές Helpdesk επιτρέπουν στους χρήστες να βρουν μια γρήγορη λύση στα προβλήματά τους, απλά συγκεντρώνοντας εισιτήρια ή αναφέροντας ζητήματα.

Το πραγματικό πρόβλημα έγκειται στο σύστημα επαλήθευσης, το οποίο πρακτικά σημαίνει ότι οποιοσδήποτε μπορεί να χρησιμοποιήσει οποιαδήποτε διεύθυνση ηλεκτρονικού ταχυδρομείου για να αποκτήσει πρόσβαση στις πληροφορίες που σχετίζονται με αυτόν το λογαριασμό.

Ο De Ceukelaire έγραψε στο blog του: "Αυτή η ευπάθεια υπάρχει εάν τα εισιτήρια υποστήριξης μπορούν να δημιουργηθούν μέσω ηλεκτρονικού ταχυδρομείου και αν τα εισιτήρια υποστήριξης είναι προσβάσιμα από χρήστες με μη επαληθευμένη διεύθυνση ηλεκτρονικού ταχυδρομείου. Υπάρχει επίσης σε ιχνηλάτες δημοσίων αποστολών ή ανταποκριτές που παρέχουν μια μοναδική διεύθυνση ηλεκτρονικού ταχυδρομείου @ company.com για να υποβάλλουν πληροφορίες απευθείας σε εισιτήριο, δημοσίευση φόρουμ, ιδιωτικό μήνυμα ή λογαριασμό χρήστη."

: 10 Ιστοσελίδες που χρησιμοποιούνται συχνότερα από τους χάκερ

Μέτρα ασφαλείας

Είναι μια απλή λύση, πραγματικά. Οι εταιρείες μπορούν απλά να αλλάξουν τις διευθύνσεις ηλεκτρονικού ταχυδρομείου υποστήριξής τους έτσι ώστε να μην μπορεί κανείς να αποκτήσει πρόσβαση σε διευθύνσεις ηλεκτρονικού ταχυδρομείου που μπορούν να χρησιμοποιηθούν για την εγγραφή σε υπηρεσίες όπως το Slack ή το Yammer.

Εάν εξακολουθείτε να χρησιμοποιείτε μια διεύθυνση ηλεκτρονικού ταχυδρομείου υποστήριξης, σκεφτείτε να την αλλάξετε.