PayPal conferma la vulnerabilità di sicurezza, paga il bug bounty all'hacker etico

Per segnalare una violazione della sicurezza che potrebbe portare all'esposizione della password dell'utente a un hacker, PayPal ha pagato ad Alex Brisan, un hacker etico, un bug bounty di quindicimila trecento dollari ($15.300). PayPal ha ammesso apertamente che Brisan, un ricercatore, ha scoperto la violazione e l'ha segnalata.

Brisan ha segnalato la violazione l'8 gennaio, tuttavia, PayPal aveva già risolto il glitch da dicembre ma ha comunque ricompensato Brisan.

Un hacker etico, anche definito hacker white-hat, è un esperto di sicurezza informatica che tenta sistematicamente di penetrare in un sistema informatico, una rete, un'applicazione o altre risorse di calcolo per conto dei proprietari — e con il loro permesso — per trovare vulnerabilità di sicurezza che un hacker malintenzionato potrebbe sfruttare.

Brisan ha scritto nella sua divulgazione pubblica che quanto accaduto è la storia di un bug di alta gravità che ha colpito una delle pagine più visitate di PayPal riferendosi al modulo di accesso. Ha scoperto la violazione mentre esplorava il flusso di autenticazione principale su PayPal.

Le falle di PayPal

Secondo Brisan, la sua attenzione è stata attirata dal fatto che un file JavaScript (JS) conteneva quello che sembrava un token CSRF (Cross-Site Request Forgery) e un ID di sessione. Fornire qualsiasi dato di sessione all'interno di un file javascript valido, ha detto Birsan, di solito consente di recuperarlo dagli attaccanti.

Nello stesso modo, PayPal ha confermato che token sensibili e unici venivano trapelati in un file JS utilizzato dall'implementazione di ReCaptcha. In determinate circostanze, gli utenti dovevano risolvere una sfida CAPTCHA dopo l'autenticazione, e PayPal ha notato che i token esposti venivano utilizzati nella richiesta POST per risolvere il CAPTCHA.

PayPal ha anche confermato che dopo aver risolto il captcha, un utente dovrebbe poi andare su un altro sito (malizioso) e inserire le proprie credenziali PayPal. Questo permetterebbe all'hacker di completare la sfida di sicurezza, che poi produceva una richiesta di autenticazione replay per mostrare la password.

PayPal ha ulteriormente spiegato che, tuttavia, l'esposizione si è verificata solo se un utente segue un link di accesso da un sito malizioso.

Piattaforma di connessione degli hacker etici

Per promuovere la cybersecurity, un'organizzazione, HackerOne, ha fornito una piattaforma che connette hacker etici con organizzazioni che pagano ricompense per le vulnerabilità trovate nel loro software, servizi o prodotti.

Un hacker avrebbe gestito di hackerare la stessa piattaforma HackerOne e si è guadagnato 20.000 dollari.

Al di fuori di questo, ci sono competizioni di hacking dove gli hacker etici sono incoraggiati a partecipare alla ricerca di possibili violazioni della sicurezza. Una di queste competizioni di hacking Pwn2Own si tiene a marzo, dove chiunque possa hackerare un'auto elettrica Tesla Model 3 riceverebbe 700.000 dollari e un nuovo modello Tesla.

Apple ha anche confermato che chiunque hackeri un iPhone riceverà una ricompensa di 1,5 milioni di dollari.

Immagine in evidenza di Pixabay