Kolmansien osapuolien neuvontapalvelut pitävät löysästä verkkouhkia

Vuosien mittaan sekä suuret että pienet organisaatiot ovat alkaneet luottaa viestintävälineisiin, kuten Slackiin, sisäiseen viestintään ja yhteistyöhön. Mutta vakava haavoittuvuus on juuri paljastunut kolmansien osapuolien asiakaspalvelupalveluissa, jotka voivat antaa kaikille asiantuntijoille pääsyn luottamukselliseen sisäiseen viestintään.

Haavoituksen löytäneen Inti De Ceukelairen mukaan kuka tahansa voi päästä sisäiseen viestintään, vaikka järjestelmänvalvoja tai talonmies ei ole nimenomaisesti antanut heille lupaa.

Löysä, helppo hakata

Tästä tulee entistä kriittisempiä, kun on kyse asiakaspalveluista ja liikkeeseenlaskejista, joissa tukijärjestelmä luottaa samanlaisiin verkkotunnuksen tunnuksiin. De Ceukelaire käytti tätä menetelmää päästäkseen läpi.

Hän loi tilin GitHubiin ja nosti lipun sähköpostitse. Sen jälkeen hän sai pääsyn sähköpostiosoitteeseen. Tätä käytettiin myöhemmin rekisteröitymiseen Slackiin, jota yritys käytti sisäiseen viestintään.

Onko syytä syyttää automatisoituihin neuvontapalveluihin?

Helpdeskin ohjelmistojen tai sovellusten avulla käyttäjät voivat saada nopean korjauksen ongelmiinsa nostamalla lippuja tai ilmoittamalla ongelmista.

Todellinen ongelma on vahvistusjärjestelmässä, mikä tarkoittaa käytännössä sitä, että kuka tahansa voi käyttää mitä tahansa sähköpostiosoitetta pääsyyn tiliin linkitettyihin tietoihin.

De Ceukelaire kirjoitti blogissaan: ”Tämä haavoittuvuus on olemassa, jos tukiliput voidaan luoda sähköpostitse ja jos tukiliput ovat käyttäjien, joille ei ole vahvistettu sähköpostiosoitetta, käytettävissä. Sitä on myös julkisten kysymysten jäljittäjissä tai vastaajissa, jotka tarjoavat ainutlaatuisen @ company.com -sähköpostiosoitteen tietojen lähettämiseksi suoraan lippuun, keskustelupalstiin, yksityisviestiin tai käyttäjätiliin."

: 10 verkkosivustoa, joita hakkerit usein käyttävät

Turvatoimet

Se on yksinkertainen korjaus, todella. Yritykset voivat yksinkertaisesti muuttaa tukisähköpostiosoitteitaan, jotta kukaan ei pääse sähköpostiosoitteisiin, joita voidaan käyttää palveluiden, kuten Slackin tai Yammerin, kirjautumiseen.

Jos käytät edelleen tukisähköpostiosoitetta, harkitse sen muuttamista.