Menéame: comentarios [1293021]

#41 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

estoyausente — Sat, 18 Jun 2011 16:28:08 +0000

#15 jj Se dice el pecado no el pecador. Pero los campos hidden los carga el diablo.

» autor: estoyausente

#40 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--139210-- — Fri, 17 Jun 2011 20:41:00 +0000

#26 Yo diría que es más bien un "bamos ha ber que a pasado".

Una fallo igual tenía la página de la Cruz Roja, podías acceder a cualquier cuenta de los socios, con sus datos bancarios, el importe de las donaciones, la dirección, vamos, todo. Me puse en contacto con ellos y les estuve ayudando a arreglarlo, porque por 3 veces conseguí meterme en la cuenta de otro usuario usando diferentes técnicas, aunque decían que ya lo habían arreglado. Pero fueron muy majos y muy agradecidos, todo hay que decirlo.

» autor: --139210--

#39 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--150388-- — Fri, 17 Jun 2011 18:03:53 +0000

Al igual que CitiBank... no doy crédito.

» autor: --150388--

#38 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

erdracu_1 — Fri, 17 Jun 2011 17:09:09 +0000

Estos no fueron aquellos a los que se les trabo la pass de admin en un txt accesible desde http? (citybank.es/admin.txt)

en teoría el descubridor fue a mirar el robots.txt y se le fue la pinza escribiendo.. Ya esta corregido, de hecho.

» autor: erdracu_1

#37 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

Stality — Fri, 17 Jun 2011 16:44:53 +0000

Lamentablemente parece que en Citibank no aprenden, no es la primera vez que les sucede algo así.

Improvisando, algunos mandamientos de seguridad del desarrollador web:

1. Validaras cada variable POST y GET, y campo de los formularios que te lleguen desde el navegador.
2. Escaparas cada variable que uses contra la base de datos.
3. Comprobaras que el usuario este autenticado en cada petición (por ajax tambien)
4. No guardaras claves en texto plano
5. No enviaras claves sin https ( y si envías el hash hecho en Javascript mejor)
6. Anotaras todo lo que sucede en un log, y los fallos además en un segundo log.

Por otro lado, cuando desde el navegador te llega el ID de un registro de una tabla, y tienes que hacer algo con el (leerlo, borrarlo) en lugar de suponer que es valido, o hacer varias consultas a la DB simplemente podemos poner una clausula extra en el WHERE:

"SELECT * FROM `bank_account` WHERE `account_id` = $accid_safe AND `account_user` = $userid_safe;"

Gracias a esto incluso si desde el navegador nos quieren engañar con un numero de cuenta que no corresponde estaríamos asegurados.

» autor: Stality

#36 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

enmafa — Fri, 17 Jun 2011 16:27:23 +0000

una cosa es entrar y mirar, y otra poder hacer algo más, lo peor que se te quea mal cuerpo, de ver tanto saldo......:))

» autor: enmafa

#35 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

jaraal — Fri, 17 Jun 2011 16:17:13 +0000

#18 yo he llamado a citybank al ver la notícia y la "colombiana"(le he preguntado dónde estaba llamando) no sabía nada. Directamente me ha dicho que "la operación es segura" por lo cual no me fio.

La OCU me ha dicho que si podemos asegurar de que realmente existe la posibilidad de consultar otras cuentas, denunciemos el hecho a:
* Denúncia a la AEPD
* Denúncia a la policía
* Aviso/Denúncia al SAT de citibank, dejándoles claro que no pagaremos ninguna de las transacciones que no hayamos efectuado.

» autor: jaraal

#34 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

DarkJuanMi — Fri, 17 Jun 2011 15:42:49 +0000

#19 Estoy de acuerdo e incluso te he votado positivo. Pero no es 100% cierto.
Por ponerte un ejemplo, la mayoria de pagos (y hago muchos) si que me piden los tres digitos traseros, pero al dar de alta la tarjeta en amazon, solo te pide el numero y la fecha de expiración, y esta es facil de averiguar si sabes cuando emitieron la tarjeta (por ejemplo mirando el extracto bancario).

» autor: DarkJuanMi

#33 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--238841-- — Fri, 17 Jun 2011 15:15:02 +0000

Psss, de Citibank ya no me sorprende nada.

» autor: --238841--

#32 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--143520-- — Fri, 17 Jun 2011 15:10:49 +0000

Si prácticamente desde que uso internet he jugado a cambiar las URL para ver a donde me llevaban, debería ser imposible para un banco tener un fallo semejante.

» autor: --143520--

#31 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--67441-- — Fri, 17 Jun 2011 14:49:31 +0000

[Usuario deshabilitado]

» autor: --67441--

#30 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--216577-- — Fri, 17 Jun 2011 14:40:20 +0000

#29 Pues no me extrañaria. Huele a arturitos

» autor: --216577--

#29 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

snok87 — Fri, 17 Jun 2011 14:37:41 +0000

#1 Accenture? No me extrañaria...

» autor: snok87

#28 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--51656-- — Fri, 17 Jun 2011 14:31:18 +0000

#1 un cuñado con el frontpage

» autor: --51656--

#27 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--4659-- — Fri, 17 Jun 2011 14:19:32 +0000

#12 ya se lo has comunicado al departamento correspondiente?? Y si no hacen caso en un tiempo adecuado, deberias ponerlo en conocimiento de la AOPD.

» autor: --4659--

#26 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

angelitoMagno — Fri, 17 Jun 2011 14:10:19 +0000

Para quien no sepa de programación web, el fallo es básico, pero básico de cojones. Si fuese un error ortográfico sería como escribir "vamos haber que ha pasado".

Vamos, que no hay excusa posible.

» autor: angelitoMagno

#25 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--74648-- — Fri, 17 Jun 2011 14:07:45 +0000

juas asi se robaban en clanbase hace la tira de años

» autor: --74648--

#24 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

mrpaco — Fri, 17 Jun 2011 14:06:37 +0000

Es lo que ocurre cuando el que programa el servicio es alguien a quien pagan 800€ con un contrato temporal y le hacen estar un par de horas extras por la cara.

Las carnicas son asi

» autor: mrpaco

#23 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

GoDie — Fri, 17 Jun 2011 13:57:47 +0000

#4 Lo que se puede a llegar a interpretar visto las multas que reciben que lo que aprendio fue: Sale más barato hacerlo mal que hacerlo bien.

» autor: GoDie

#22 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

Gotnov — Fri, 17 Jun 2011 13:57:26 +0000

Por ejemplo, si tu cuenta es:
citibank.com/user/12345
Sólo tienes que cambiar algún número como:
citibank.com/user/12346
Y accedes a la cuenta de otra persona. Los atacantes usaron un secillo script que iba cambiando esos números y guardando la información mostrada, una y otra vez.

Dios, no puedo hacer más que descojonarme. Qué triste.

» autor: Gotnov

#21 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

vemv — Fri, 17 Jun 2011 13:56:41 +0000

#19 efectivamente.

In the Citi attack, the hackers did not obtain expiration dates or the three-digit security code on the back of the card, which will make it harder for thieves to use the information to commit fraud.

Vía NY Times.

» autor: vemv

#20 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--231021-- — Fri, 17 Jun 2011 13:46:50 +0000

Y luego los llaman hackers...

» autor: --231021--

#19 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--100458-- — Fri, 17 Jun 2011 13:46:06 +0000

Os recuerdo que además de logearos, para operar necesitáis una clave de operaciones y muchas entidades necesitan una tarjeta de coordenada, un generador de Claves tipo token o un SMS a un móvil previamente identificado.

La noticia habla de cuentas Comprometidas no de robos

» autor: --100458--

#18 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--11273-- — Fri, 17 Jun 2011 13:44:27 +0000

¿Esto no es aplicable a la web de Citibank España, no? Temo por mi tarjeta de crédito.

Patético, yo no sé a qué clase de gente contratan muchas grandes empresas para hacer páginas web. Es que ese fallo es de manual.

» autor: --11273--

#17 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

gravesen — Fri, 17 Jun 2011 13:42:26 +0000

Meneantes probando si se puede hacer lo mismo con su cuenta bancaria online en 3, 2, 1 ....

» autor: gravesen

#16 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

kinz000 — Fri, 17 Jun 2011 13:42:21 +0000

La verdad, como usuario de banca electrónica esto me acojona, espero que no sea lo común.
Ese truco de cambiar parte de la url es mas viejo que internet o casi creía que ya no funciona en ningún sitio.

» autor: kinz000

#15 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

lork — Fri, 17 Jun 2011 13:42:16 +0000

#13 Y que tiendas dices que son?

» autor: lork

#14 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

dankz — Fri, 17 Jun 2011 13:41:26 +0000

¡Madre del amor hermoso!

www.youtube.com/watch?v=uC8C6kOu-MM

Supongo que la agencia de protección de datos tomara cartas en el asunto. La multa debe de ser de ordago.

De todas formas estoy seguro que esto ha pasado por querer ahorrar costes y contratar a una subcontrata de una subcontrata de una subcontrata .... Hasta que llegas a unos picacódigos que en la India te hacen la web por cuatro perras, pero eso si no te esperes que sigan los protocolos especificados por la ISO 27000. Que me da la risa.

Si pagas una mierda tienes de resultado una mierda de producto. TicForTat lo que obtienes por lo que das.

» autor: dankz

#13 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

estoyausente — Fri, 17 Jun 2011 13:40:30 +0000

Trabajo desarrollando aplicaciones y portales web. Muchas veces no nos contratan las páginas por hacerlo a empresas más baratas.

Conozco varias páginas de esas que no nos contrataron donde puedes comprar colchones o instrumentos musicales a 1€.

Pero claro, la gente se piensa que esto es jauja.

» autor: estoyausente

#12 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--140959-- — Fri, 17 Jun 2011 13:40:25 +0000

Ese mismo método se puede usar para ver el currículum de cualquiera una vez te has logueado en el portal Feina Activa del SOC... Con ID's consecutivas y todo. Ya sé que el CV no es una cuenta bancaria, pero también contiene datos personales. Penoso.

» autor: --140959--

#11 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

kapitolkapitol — Fri, 17 Jun 2011 13:39:44 +0000

hacer paginillas y no securizarlas por que no hay tiempo ni presupuesto vale...pero hacer un banco y no pensar en todas las posibles tretas, es realmente de poco profesional

» autor: kapitolkapitol

#10 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--144598-- — Fri, 17 Jun 2011 13:38:49 +0000

A mi me huele fatal. Teniendo en cuenta la política sectaria-piramidal que tiene esta empresa, no me extrañaría que todo venga de alguien de dentro.

» autor: --144598--

#9 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

tonibitt — Fri, 17 Jun 2011 13:38:29 +0000

luego le hechan la culpa a los hackers o vete a saber,valla pardillos.

» autor: tonibitt

#8 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

Grenuille — Fri, 17 Jun 2011 13:36:09 +0000

Que curioso, si intentas compartirlo en el caralibro aparece "Este mensaje incluye contenido bloqueado que anteriormente se denunció como ofensivo o correo no deseado. Ponte en contacto con nosotros si crees que se trata de un error". Parece que está molestando a alguien..

» autor: Grenuille

#7 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

lork — Fri, 17 Jun 2011 13:33:09 +0000

#6 Nah, no necesariamente.

"Y aprovechando la ocasion y preocupandonos por su seguridad queremos ofrecerle esta gran oportunidad de tener sus datos y ahorros bien cubiertos gracias al nuevo seguro hecho a medida para usted y sus necesidades/relaciones con las neuvas tecnologias. Por solo 140€ anuales usted tendra un seguro que le cubrira todo riesgo online."

Y a hacer caja. algo asi como lo de "te regalo un mes de PSN plus", sinceramente estos "hackeos" son una campaña de concienzacion cojonuda y de atraer nuevo publico y ventas(hasta me da por pensar mal... ) .

» autor: lork

#6 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--199008-- — Fri, 17 Jun 2011 13:29:41 +0000

Rodarán cabezas... espero.

» autor: --199008--

#5 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--233598-- — Fri, 17 Jun 2011 13:21:02 +0000

[Usuario deshabilitado]

» autor: --233598--

#4 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

perico_de_los_palotes — Fri, 17 Jun 2011 13:17:44 +0000

El problema gordo es que citi debe ser con diferencia el banco mas hackeado de la historia. Que a estas alturas sigan sin aprender nada es fascinante.

» autor: perico_de_los_palotes

#3 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

FranJ91 — Fri, 17 Jun 2011 13:10:23 +0000

#1 Algún trabajo de instituto o algo, por que si no, no lo entiendo...

» autor: FranJ91

#2 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

Solero — Fri, 17 Jun 2011 12:54:30 +0000

El mundo en el que vivimos es una mierda. Ni existen los valores y la profesionalidad. No tengo más que decir.

» autor: Solero

#1 Robando más de 200.000 cuentas de CitiBank sólo cambiando un número en la URL

--216577-- — Fri, 17 Jun 2011 12:53:09 +0000

Y digo yo. Alguien sabe Quien ha sido la consultora/carnica/ETT que ha realizado la página?

» autor: --216577--