Cada vez que me deparo com isso, nunca paro de me perguntar como é possível que uma grande empresa possa ter TAIS falhas de segurança.
Em geral, se você acha que vender algo com entrega Avito, seu dinheiro não pode ser roubado, engana-se.
Descobriu-se fenomenal: Avito tem a capacidade de alterar seu endereço de e-mail por telefone. Tudo o que você precisa fazer é ligar do número vinculado e informar que deseja alterar seu e-mail.
Escrevi sobre a possibilidade técnica de alterar o número ao fazer uma chamada há três anos (https://ammo1.livejournal.com/996419.html ). Depois da história com Navalny, todos sabiam da oportunidade, exceto o apoio de Avito.
Qualquer pequeno bandido pode usar o aplicativo de falsificação de número de telefone e alterar o e-mail em sua conta Avito. E tendo alterado o e-mail, ele poderá alterar a senha usando a função de recuperação de senha. Ao mesmo tempo, nenhuma notificação é enviada para o e-mail antigo (real).
Ao enviar mercadorias por entrega Avito, o número de telefone do vendedor associado à conta Avito deve ser indicado na etiqueta da encomenda. Este número pode ser visto por muitas pessoas, desde o receptor no ponto de Boxberry ou nos Correios Russos e finalizando com todos que participam da entrega. A qualquer momento, basta tirar uma foto da embalagem para obter um número de telefone. E aí tudo é simples: trocam o e-mail imediatamente, esperam que o comprador retire a encomenda, mudam imediatamente a senha, vão à conta e retiram o dinheiro para o cartão.
O fato de as pessoas estarem logadas em suas contas de outro país não incomoda Avito de forma alguma, mas esse aviso chega ao e-mail de outra pessoa.
Avito também não se incomoda que todas as manipulações com a conta ocorram no momento em que Avito é entregue.
Usando essa maquinação simples, os invasores roubaram 119.000 rublos para apenas uma entrega, mas essa história certamente não é a única.
A vítima conduziu sua própria investigação e descreveu toda a história em detalhes aqui .
Eu gostaria muito de esperar que Avito preste atenção a esta situação e pelo menos adicione uma notificação ao antigo e-mail ao tentar alterar o e-mail por telefone, e confirme esta ação por SMS.
E também será correto se a Avito reembolsar todos os prejuízos sofridos com a brecha de segurança no "Avito-Delivery Safe Deal".
© 2021, Alexey Nadezhin
Há dez anos escrevo todos os dias sobre tecnologia, descontos, lugares de interesse e eventos. Leia meu blog no site ammo1.ru, no LJ, zen, Mirtesen, Telegrama .
Meus projetos:
Lamptest.ru. Eu testo as lâmpadas LED e ajudo a descobrir quais são boas e quais não são.
Elerus.ru. Recolho informações sobre dispositivos eletrônicos domésticos para uso pessoal e as compartilho.
Você pode entrar em contato comigo no telegrama @ ammo1 e por correio [email protected] .