В Государственной технической службе (ГТС) заявили, что пароли для внутренних сервисов одного из казахстанских банков были найдены в открытом доступе, сообщает Bizmedia.kz.
Как нашли уязвимость банка
Специалисты ГТС обнаружили уязвимость на интернет-ресурсе одного из казахстанских банков второго уровня в результате мониторинга казахстанского сегмента интернета. Уязвимость, названная как CWE-530, является следствием того, что резервные копии файлов (бэкап) веб-приложения остаются открытыми для несанкционированного доступа.
В компании сообщили, что у специалистов ГТС был найден файл для бэкапа. Этот файл был доступен для скачивания без авторизации и в нем хранился исходный код веб-приложения. В этом файле была также личная информация клиентов и сотрудников банка. Было обнаружено 11 файлов, которые содержали информацию о сотрудниках банка, включая пароли от доступа к VPN.
Как пояснили в ГТС, при использовании этих данных технически было возможно удаленно подключиться к внутренней системе банка и выполнить платеж, получить доступ к финансовым системам или изменить информацию о платежных реквизитах клиентов.
Сейчас уязвимость исправлена. Государственная техническая служба посоветовала банкам второго уровня и финансовым организациям ограничить доступ неавторизованных пользователей к бэкапам файлов.
