PayPal confirma vulnerabilidade de segurança e paga recompensa a hacker ético

Por relatar uma violação de segurança que poderia levar à exposição da senha do usuário para um hacker, o PayPal pagou a Alex Brisan, um hacker ético, uma recompensa por bug de quinze mil e trezentos dólares ($15.300). O PayPal admitiu abertamente que Brisan, um pesquisador, descobriu a violação e a reportou a eles.

Brisan relatou a violação em 8 de janeiro, no entanto, a PayPal já havia corrigido o defeito desde dezembro, mas ainda assim recompensou Brisan.

Um hacker ético, também referido como hacker de chapéu branco, é um especialista em segurança da informação que sistematicamente tenta penetrar em um sistema de computador, rede, aplicativo ou outros recursos de computação em nome de seus proprietários — e com sua permissão — para encontrar vulnerabilidades de segurança que um hacker malicioso poderia explorar.

Brisan escreveu em sua divulgação pública que o que aconteceu é a história de um bug de alta severidade afetando uma das páginas mais visitadas do PayPal referindo-se ao formulário de login. Ele descobriu a violação enquanto explorava o fluxo principal de autenticação no PayPal.

Falhas de segurança do PayPal

De acordo com Brisan, sua atenção foi chamada para o fato de que um arquivo JavaScript (JS) continha o que parecia ser um token de falsificação de solicitação entre sites (CSRF) e um ID de sessão. Fornecer qualquer dado de sessão dentro de um arquivo javascript válido, disse Birsan, geralmente permite que ele seja recuperado por atacantes.

Da mesma forma, PayPal confirmou que tokens únicos e sensíveis estavam sendo vazados em um arquivo JS usado pela implementação do ReCaptcha. Em certas circunstâncias, os usuários tinham que resolver um desafio CAPTCHA após a autenticação, e o PayPal observou que os tokens expostos eram usados na solicitação POST para resolver o CAPTCHA.

O PayPal também confirmou que, após resolver o captcha, um usuário precisaria ir para outro site (malicioso) e inserir suas credenciais do PayPal. Isso permitiria que o hacker completasse o desafio de segurança, o que então produzia uma reprodução da solicitação de autenticação para mostrar a senha.

O PayPal explicou ainda que, no entanto, a exposição ocorreu apenas se um usuário seguir um link de login de um site malicioso.

Plataforma de conexão de hackers éticos

Para promover a cibersegurança, uma organização, HackerOne, forneceu uma plataforma que conecta hackers éticos a organizações que pagam recompensas por vulnerabilidades encontradas em seu software, serviços ou produtos.

Um hacker supostamente conseguiu hackear a própria plataforma HackerOne e ganhou $20.000.

Além disso, há competições de hacking onde hackers éticos são incentivados a participar na busca por possíveis violações de segurança. Uma dessas competições de hacking Pwn2Own ocorre em março, onde qualquer pessoa que consiga hackear um carro elétrico Tesla Model 3 receberá $700.000 e um Tesla Model novo.

A Apple também confirmou que qualquer pessoa que hackear um iPhone receberá uma recompensa de $1,5 milhão.

Imagem destacada por Pixabay