तीन साल पहले मैंने एक बड़ी ईकॉमर्स वेबसाइट के लिए एक सुरक्षा ऑडिट किया था। जब ऑडिट किया गया था, तो मुझे कई गंभीर सुरक्षा मुद्दे मिले जो डेटा तक पहुंच के लिए अनुमति देते हैं जो लेनदेन पूरा होने के बाद सुलभ नहीं होना चाहिए। इस साइट पर कई प्रमुख जोखिम हैं। सबसे पहले, आप सिस्टम को वास्तविक समय के माध्यम से आने वाले आदेश देख सकते हैं; सभी लेनदेन इस कंपनी द्वारा मैन्युअल रूप से संसाधित किए जाते हैं। यदि आप कोई लेनदेन देखते हैं तो आप नाम, पता और शिपिंग गंतव्य देख सकते हैं। मुझे यहां दो दुर्व्यवहार के बिंदु दिखाई देते हैं, 1 - आप बस जहाज को संबोधित करने के लिए संपादित कर सकते हैं और शिपमेंट को खुद को भेजा जा सकता है, और 2 - आप उपयोगकर्ता को कॉल कर सकते हैं जैसा कि ऑर्डर रखा गया था और बस एक्सेस प्राप्त करने के लिए "फोन पुष्टि" करें बुनियादी सामाजिक इंजीनियरिंग के साथ क्रेडिट कार्ड की जानकारी के लिए।
तुम भी, थोड़ा और काम के साथ, सीसी जानकारी और आदेश आईडी नंबर डंप कर सकते हैं और फिर बस आदेश आईडी और उपयोगकर्ता जानकारी से मेल खाते हैं।
यह सब अपनी साइट पर उजागर कार्यों का उपयोग करके और एक दो मूल्यों को संशोधित करके है। हां, मैं एक कारण से अस्पष्ट हूं।
इस कंपनी के विपणन निदेशक को तीन साल पहले इन जोखिमों के बारे में चेतावनी दी गई थी और उन्होंने इन्हें ठीक करने के लिए कुछ नहीं किया है। मुझे संदेह नहीं है कि अगर मुझे यह मिल सकता है तो अन्य लोग कर सकते हैं। यह साइट प्रति वर्ष 88K लेनदेन करती है और सभी आदेश कभी भी डेटा और सुलभ में संसाधित होते हैं।
तो नैतिक सवाल ... मैं क्या करूँ? मेरी कंपनी को कोई परवाह नहीं है ... इसलिए मुझे वहां मदद नहीं मिल सकती है। अगर मैं विपणन आदमी से संपर्क करता हूं तो वह सिर्फ अपने गधे और अपनी अक्षम आंतरिक विकास टीम (कोल्ड फ्यूजन) के गधे को कवर करना जारी रखेगा। क्या मैं किसी से संपर्क कर सकता हूं? क्या मैं अपनी कंपनी के आसपास जाऊं? क्या मैं सिर्फ डेटा खदान करता हूं और एक प्रतियोगी को सीसी जानकारी बेच देता हूं? मैं यह जानकर क्या करूँ? यह मुझ पर हमला कर रहा है और मैं इसे जाने नहीं दे सकता। यह केवल उन कई साइटों में से एक है, जिनके बारे में मुझे पता है, लेकिन पहुंच में आसानी और उच्च यातायात मुझे इस ओर बहुत अधिक प्रेरित करता है।
The marketing director at this company was warned about these risks three years agoएर ... इस कंपनी के पास एक सीटीओ या सीआईओ नहीं है जिसे इसकी सूचना दी जानी चाहिए? विपणन निदेशक आईटी के लिए जिम्मेदार नहीं होना चाहिए।