Android

Web Mail Company để trả tiền sau khi CEO Hacked

Dịch vụ Email doanh nghiệp theo email Google tại NEVICOM

Dịch vụ Email doanh nghiệp theo email Google tại NEVICOM
Anonim

Một công ty thư điện tử an toàn thách thức tin tặc đột nhập vào hệ thống thư điện tử của công ty đang trả một giải thưởng trị giá 10.000 đô la Mỹ, chỉ vài ngày sau khi ra mắt cuộc thi.

để đột nhập vào tài khoản Web Mail của Giám đốc điều hành StrongWebmail của Darren Berkovitz, sử dụng những gì được gọi là tấn công cross-site scripting (XSS), công ty đã xác nhận hôm thứ Hai. "Họ đã làm nó bằng cách sử dụng một kịch bản XSS đã lợi dụng một lỗ hổng trong chương trình webmail phụ trợ", StrongWebmail cho biết trong một tuyên bố.

StrongWebmail đã khởi động cuộc thi vào cuối tháng năm như một cách để thúc đẩy công nghệ nhận dạng giọng nói được bán bởi công ty mẹ của nó, Telesign. Tin tặc đã được cung cấp địa chỉ e-mail và mật khẩu của Berkovitz và bị thách thức đột nhập vào tài khoản. Công ty cho rằng điều này sẽ chứng minh khó khăn vì StrongWebmail yêu cầu mật khẩu đặc biệt được gọi tới người dùng trước khi có thể truy cập e-mail.

[Đọc thêm: Cách xóa phần mềm độc hại khỏi PC Windows]

Tuy nhiên, Lance James và các đồng nghiệp của anh ta là Aviv Raff và Mike Bailey đã tìm thấy một cánh cửa sau trong một lỗ hổng Web phổ biến, và tuyên bố rằng họ đã thắng cuộc thi vào thứ năm tuần trước. Tuyên bố của StrongWebmail xác nhận rằng họ đã thực sự tấn công vào tài khoản email của Berkovitz.

Trong kịch bản lệnh cross-site, kẻ tấn công tận dụng một lỗi trên máy chủ Web để chạy kịch bản Web độc hại trong trình duyệt của nạn nhân, chủ yếu là kiểm soát

Các tin tặc tìm thấy lỗ hổng Web trong vòng một phút, James nói, và sau đó dành khoảng sáu giờ để hoàn thiện cuộc tấn công của họ. Không có nhiều công việc cho một khoản thanh toán 10.000 đô la.

StrongWebmail cho biết họ đã "không bị ngăn cản" bởi kết luận nhanh chóng của cuộc thi và sẽ tung ra một cuộc thi mới khi lỗi này đã được sửa. "Chúng tôi sẽ không nghỉ ngơi cho đến khi chúng tôi tạo ra một e-mail an toàn nhất trên thế giới", công ty cho biết.

Lỗi do các tin tặc sử dụng thực sự nằm trong phần mềm thư điện tử của Rackspace được sử dụng để cấp nguồn cho StrongWebmail, chứ không phải trong Hệ thống xác thực Telesign mà StrongWebmail được tạo ra để quảng bá, Berkovitz nói trong một cuộc phỏng vấn qua e-mail.

Số tiền thưởng và quy tắc của cuộc thi tiếp theo vẫn chưa được xác định, ông nói thêm. "Chúng tôi sẽ cố gắng và thực hiện cuộc thi tiếp theo thực sự về vi phạm phần mà TeleSign bảo vệ", ông nói. "E-mail chúng tôi được cấp phép rõ ràng là từ một nhà cung cấp lớn và đáng tin cậy, nhưng chỉ có rất nhiều chúng tôi có thể làm để đảm bảo rằng họ không có lỗ trên kết thúc của họ."

Trong một e-mail gửi đến James và được xem bởi Dịch vụ Tin tức IDG, công ty đã khen ngợi anh ta về kỹ năng hacking của mình. "Bạn và nhóm của bạn khá ấn tượng - tỷ lệ tư vấn của bạn là bao nhiêu?" trạng thái e-mail.