PayPal confirma vulnerabilidad de seguridad y paga recompensa a hacker ético

Por informar de una violación de seguridad que podría conducir a la exposición de la contraseña del usuario a un hacker, PayPal pagó a Alex Brisan, un hacker ético, una recompensa por errores de quince mil trescientos dólares ($15,300). PayPal admitió abiertamente que Brisan, un investigador, descubrió la violación y se la reportó.

Brisan informó de la violación el 8 de enero, sin embargo, PayPal ya había corregido el error desde diciembre, pero aún así recompensó a Brisan.

Un hacker ético, también conocido como hacker de sombrero blanco, es un experto en seguridad de la información que intenta sistemáticamente penetrar en un sistema informático, red, aplicación u otros recursos informáticos en nombre de sus propietarios — y con su permiso — para encontrar vulnerabilidades de seguridad que un hacker malicioso podría aprovechar.

Brisan escribió en su divulgación pública que lo que sucedió es la historia de un error de alta gravedad que afectaba a una de las páginas más visitadas de PayPal, refiriéndose al formulario de inicio de sesión. Descubrió la violación mientras exploraba el flujo de autenticación principal en PayPal.

Las lagunas de seguridad de PayPal

Según Brisan, su atención se vio atraída por el hecho de que un archivo JavaScript (JS) contenía lo que parecía ser un token de falsificación de solicitudes entre sitios (CSRF) y un ID de sesión. Proporcionar cualquier dato de sesión dentro de un archivo javascript válido, dijo Birsan, generalmente permite que sea recuperado por los atacantes.

En la misma línea, PayPal confirmó que tokens únicos y sensibles se estaban filtrando en un archivo JS utilizado por la implementación de ReCaptcha. En ciertas circunstancias, los usuarios tenían que resolver un desafío CAPTCHA después de la autenticación, y PayPal señaló que los tokens expuestos se utilizaron en la solicitud POST para resolver el CAPTCHA.

PayPal también confirmó que, después de resolver el captcha, un usuario tendría que ir a otro sitio (malicioso) e ingresar sus credenciales de PayPal. Esto permitiría al hacker completar el desafío de seguridad, lo que luego produciría una reproducción de la solicitud de autenticación para mostrar la contraseña.

PayPal explicó además que, sin embargo, la exposición solo ocurrió si un usuario sigue un enlace de inicio de sesión desde un sitio malicioso.

Plataforma de conexión de hackers éticos

Para promover la ciberseguridad, una organización, HackerOne, ha proporcionado una plataforma que conecta a hackers éticos con organizaciones que pagan recompensas por vulnerabilidades que se encuentran en su software, servicios o productos.

Un hacker reportedly logró hackear la propia plataforma HackerOne y se ganó $20,000.

Fuera de esto, hay competiciones de hacking donde se anima a los hackers éticos a participar en la búsqueda de posibles violaciones de seguridad. Una de estas competiciones de hacking Pwn2Own se celebra en marzo, donde cualquiera que pueda hackear un coche eléctrico Tesla Model 3 recogería $700,000 y un Tesla Model nuevo.

Apple también ha confirmado que cualquiera que hackee un iPhone recibirá una recompensa de $1.5 millones.

Imagen destacada por Pixabay