هتل لندن ورود مدیریت را برای رزرو وب سایت روی تخته سفید پشت میز جلو قرار داده است

یک بار دیگر به PWNED خوش آمدید، جایی که همه قربانیان خود مالک هستند. این هفته، ما به شما خوشامد می‌گوییم به هتلی در لندن که می‌توانید اعتبار مدیریت آن را برای یک وب‌سایت رزرو، فقط با عبور از جلوی میز پذیرش، بررسی کنید.

داستان ما توسط Neycho Tepavicharov، یکی از بنیانگذاران Flashcloud، یک شرکت میزبانی وب مستقر در دلاور آمده است. او در هتلی در لندن اقامت داشت که متوجه نقض تکان دهنده پروتکل های امنیتی اولیه توسط مدیران شد که کمی بیش از حد مهمان نواز با اعتبار خود بودند.

وقتی از لابی عبور می کرد، تپاویچاروف متوجه شد که در پشت میز جلو باز است و داخل آن اتاق پشتی تخته سفیدی وجود دارد. روی وایت برد که به زبان انگلیسی ساده نوشته شده بود، نام کاربری و رمز عبور اداری Booking.com هتل وجود داشت.

هرکسی که نزدیک میز بود می‌توانست اطلاعات ورود به سیستم را به وضوح ببیند، و اگر زمان نوشتن آن را نداشت، می‌توانست عکسی برای استفاده بعدی بگیرد. همانطور که تپاویچاروف توضیح می دهد، شرارت های زیادی وجود دارد که می توانید با این اعتبارنامه ها انجام دهید.

او گفت: «با این ورود، شخصی می‌تواند رزروها را تغییر دهد یا لغو کند، نام و اطلاعات تماس مهمان‌ها را ببیند، یا به مهمانانی که وانمود می‌کنند هتل هستند پیام دهد. «پیام‌های جعلی «لطفا پرداخت خود را تأیید کنید» ارسال شده از حساب‌های هتل در معرض خطر، یک کلاهبرداری شناخته شده است.

یک مهاجم به طور بالقوه می تواند از این دسترسی برای مختل کردن عملیات هتل یا هدف قرار دادن مهمانان با کلاهبرداری های متقاعد کننده سوء استفاده کند. اینکه آیا اعتبار افشا شده به تنهایی برای دسترسی به حساب کافی بوده یا خیر، به تنظیمات امنیتی آن بستگی دارد.

تپاویچاروف تصمیم گرفت نقش یک سامری خوب را بازی کند و به مدیر هتل هشدار دهد که کسب و کار با نشان دادن رمز عبور به همه، خود را به خطر می اندازد.

تپاویچاروف گفت: "من خواستم با مدیر صحبت کنم و آنچه را که دیده بودم به او نشان دادم. او متاسف شد و بسیار سپاسگزار بود." "هیچ کس از کارکنان آن را به عنوان یک خطر تصور نمی کرد. این ساده ترین راه برای کل تیم برای اشتراک گذاری یک ورود بود."

پس از صحبت تپاویچاروف با مدیر، هتل نه تنها روش خود را تغییر داد، بلکه وب سایت خود را به سرویس میزبانی خود، Flashcloud، منتقل کرد.

تپاویچاروف خاطرنشان می کند که نکات مهمی از این حادثه وجود دارد. مهمتر از همه: به هر کاربر اعتبار اختصاصی با ورود جداگانه خود بدهید و از احراز هویت چند عاملی استفاده کنید.

او گفت: «درس قدیمی است، اما همچنان ادامه دارد. "ورودهای مشترک در جایی مناسب نوشته می‌شوند. به هر یک از کارکنان ورود به سیستم خود را بدهید، احراز هویت دو مرحله‌ای را روشن کنید و رمزهای عبور را در یک مدیر رمز عبور نگه دارید، نه روی دیوار." ®