Jak pokazuje historia, SMS-y to nie jest idealna metoda dodatkowej autoryzacji transakcji finansowych. M.in. stąd już bardzo konkretne działania kilku konkretnych niemieckich banków: Postbank planuje wycofać się z SMS-ów do końca sierpnia Raiffeisen Bank, Volksbank, Consorsbank – w okolicach końca roku Deutsche Bank i Commerzbank (właściciel mBanku) – też idą w…
Czytaj dalej »Ciekaowstka. Bohaterem tym razem jest taki oto sprzęt z możliwością kontroli z telefonu Krótka analiza problemów bezpieczeństwa – tutaj. W skrócie: There is no auth on the BLE communications between the device and the phone. Data can be sent to the device at any time as long as it is…
Czytaj dalej »Celem dwóch nowych ransomware (QNAPCrypt i eCh0raix) są urządzenia klasy NAS firmy QNAP. Wektor ataku jest bardzo prosty: brute force na hasło SSH lub wykorzystanie znanych podatności. Łatwo rozpoznać infekcję, ponieważ zaszyfrowane algorytmem AES pliki otrzymują rozszerzenie .encrypt. Sam ransomware napisany jest w nowoczesnym języku Go. Bardzo możliwe, że twórca…
Czytaj dalej »Właśnie załatano podatność klasy Server-Side Template Injection. Podatne są: Jira Server oraz Jira Data Center (od wersji 4.2 aż do 8.x). Podatność może zostać wykorzystana przez nieuwierzytelnionego użytkownika jeśli włączona jest opcja kontaktu z administratorami Jiry przez HTML-owy formularz (domyślnie ta opcja jest wyłączona, ale Atlassian rekomenduje sprawdzić czy w…
Czytaj dalej »Ciekawostka. Policja zatrzymując ciężarówkę standardowo skontrolowała tachograf. Ale, że skończył się papier w tachografie, policjanci pobrali dane bezpośrednio z karty pamięci urządzenia, po czym okazało się że kierowca od kilku dobrych godzin cały czas „odpoczywa”. Po bardziej szczegółowej kontroli: Funkcjonariusze poznali nową, dotychczas nie znaną, metodę oszukiwania czasu pracy kierowcy….
Czytaj dalej »Tym razem akcja dzieje się w Rumunii. Tamtejszy RODO nadzór właśnie ogłosił karę dla prawdopodobnie jednego z hoteli. Jaka była przewina ukaranego? Niezabezpieczenie w odpowiedni sposób papierowej listy osób, które zapłaciły za śniadanie. Lista ta została w sposób nieautoryzowany sfotografowana i umieszczona w Internecie: the deed: mishandling of clients’ personal data:…
Czytaj dalej »Badacze z Kaspersky Lab informują o wykryciu nowego ransomware o nazwie Sodin. Tradycyjnie szyfruje pliki i żąda okupu za odszyfrowanie (płacenie nie jest zalecane, bo w ten sposób wspieramy przestępców). Wszystko wskazuje na to, że malware rozprowadzane jest jako usługa w modulu RaaS. Sodin korzysta z podatności CVE-2018-8453, która pozwala…
Czytaj dalej »Niedawno pokazała się informacja o proponowanej kwocie kary dla British Airways (około 800mln PLN) – w związku z naruszeniem RODO. Kolejna firma na celowniku brytyjskiego ICO to Marriott. O ogromnym wycieku z sieci rezerwacji Marriotta (i hoteli powiązanych) pisaliśmy jakiś czas temu. Wyciekły informacje o kilkuset milionach osób. Na dodatek…
Czytaj dalej »Czasem komunikacja między tzw. donglem (wpinanym poprzez USB do komputera) a urządzeniem bazowym w ogóle nie jest szyfrowana. Pokazywaliśmy na żywo taki atak na ostatnim Confidence: w większości bezprzewodowych „prezenterskich klikaczy” Logitecha można wstrzyknąć dowolną sekwencję klawiszy do komputera (trochę więcej o temacie można poczytać np. tutaj). Obecnie pokazał się…
Czytaj dalej »Ciekawa podatność w systemie konferencyjnym Zoom. Dotyczy ona komputerów pracujących pod kontrolą OS X (głównie macbooki), ale jest na tyle ciekawa, że warto prześledzić problem. Jak się chwali producent tego oprogramowania: Flawless Video. Clear audio. Instant Sharing. Szczególnie Instant Sharing jest warty zainteresowania. Opisana podatność dotycząca komputerów pracujących pod kontrolą OS X…
Czytaj dalej »Pracownicy firmy Tefincon, która odpowiada za NordVPN, znaleźli w Internecie plik konfiguracyjny konkurencyjnego produktu, czyli TorGuard. Jak napisano na blogu: The file revealed how the TorGuard service was configured, displayed private keys, and contained a bunch of other infrastructural IP addresses, including the IPs of their authentication servers and similar…
Czytaj dalej »Jeśli ktoś używa tej nieco oldschoolowej dystrybucji Linuksa, to powinien się ucieszyć – właśnie wydano Debiana 10 „Buster”. Co nowego w systemie? Domyślne włączenie AppArmor, przejście na NFtables (z iptables), aktualizacja do OpenJDK 11 (z wersji 8…), wsparcie dla UEFI Secure Boot. Zaktualizowano też kilkadziesiąt tysięcy dostępnych w systemie pakietów, a ważne…
Czytaj dalej »Sam hack na British Airways rozpoczął się prawdopodobnie w pierwszej połowie 2018 i był działalnością tzw. grupy Magecart. Ekipa operuje poprzez przejęcie dostępu do istotnych serwisów (najczęściej zawierających możliwość realizacji płatności), wstrzyknięcie stosownego kodu JS, a następnie kradzież danych. W tym przypadku wykradziono pełne numery kart kredytowych + podstawowe dane osobowe (poszkodowanych…
Czytaj dalej »Firma Upserve chyba słusznie uruchomiła program bug bounty. Niedawno mieli zaskakującą podatność umożliwiającą reset hasła dowolnemu użytkownikowi na znaną atakującemu wartość, teraz mamy może coś jeszcze ciekawszego – tworząc zamówienie można było zmniejszyć jego finalna kwotę: The total amount of an order could be modified by including an item with a negative…
Czytaj dalej »Światełko w tunelu, mogące w końcu doprowadzić do skutecznego pozbycia się spamu telefonicznego: Do Urzędu Ochrony Konkurencji i Konsumentów zgłaszały się osoby, które skarżyły się na niechciane telefony od operatora telekomunikacyjnego – Netii. Urząd przeanalizował zgłoszenia od konsumentów i rozmowy sprzedażowe, które prowadzili z nimi konsultanci. Wynikało z nich, że Netia…
Czytaj dalej »