Совсем недавно мы писали о новых серьезных трудностях в работе американского интернет-гиганта eBay. Напомним, в воскресенье, 14 сентября многие покупатели и продавцы не могли попасть в свои аккаунты. Тогда же появилась и информация о том, что пользователей перенаправляет на фишинговые страницы. До недавних пор последняя информация оставалась неподтвержденной.
В эти выходные англоязычные пользователи связались с новостной службой BBC News и сообщили, что уже некоторое время пытаются указать руководству eBay на серьезную проблему в безопасности. Тем не менее, в ответ на эти обращения представители компании отвечают, что «продолжат следить за контентом».
В ходе проверки информации, поступившей от пользователей, было обнаружено не менее сотни описаний лотов, использующихся для обмана покупателей и сбора их личных данных.
Зачастую такие описания размещались с помощью краденых аккаунтов. Многие счета имели стопроцентно положительный рейтинг и сотни выставленных на продажу лотов. Когда покупатель просматривал описание аукциона, он автоматически перенаправлялся на сложную и достоверно выглядящую страницу. Эта страница, в свою очередь, предлагала пользователю заново авторизоваться и указать данные о себе, включая детали банковского счета. Лоты, описания которых содержали мошеннический скрипт, были рассчитаны на самую широкую аудиторию, начиная от мобильных телефонов и телевизоров, заканчивая одеждой и сантехникой.
Причина, по которой такое мошенничество вообще стало возможным, весьма банальна. Дело в том, что, формируя описание лота, продавцы eBay могут свободно использовать элементы Javascript и Flash.
Обычно, продавцы используют такие элементы для того, чтобы сделать свои описания более красочными и интересными для покупателя. Тем не менее, сам eBay признает, что использование Javascript и Flash существенно повышает риск того, что на странице будут элементы, предназначенные для так называемого межсайтового скриптинга (XSS).
Это означает, что пользователю достаточно открыть описание лота на eBay, чтобы тут же быть перенаправленным на поддельную страницу, предназначенную для сбора личной информации и паролей.
На данный момент до конца не известно, с какими именно целями осуществлялся сбор персональных данных пользователей конкретно в этом случае. Но очень любопытно другое.
BBC News разместила скриншот фишинговой страницы. В адресной строке отчетливо виден адрес сайта, размещенного в доменной зоне COM.UA. Так что вполне возможно, что за этим громким мошенничеством стоят наши соотечественники.
Сообщения о подобных страницах на eBay поступали еще в феврале этого года. Некоторые специалисты утверждают, что реальный возраст проблемы уже превышает год.
Так или иначе, официальная позиция компании eBay остается непреклонной. По словам руководства, элементы Javascript и Flash активно используются продавцами для улучшения описаний лотов, поэтому никто не станет их запрещать. Просто специалисты продолжат следить за тем, чтобы сложные элементы использовались исключительно в мирных целях.
Как показывает практика, подобного «слежения» явно недостаточно. Многие специалисты в сфере безопасности критикуют столь непреклонную позицию eBay. По их мнению, проект такого масштаба попросту не имеет права допускать появления таких уязвимостей. Предлагается очевидный выход: если компания не может обеспечить безопасности работы Javascript и Flash, их следует вовсе отключить.
Так, один из известных специалистов по безопасности Брайан Хонэн призвал руководство eBay запретить использование активных элементов в описании лотов: «Потребности большинства важнее потребностей некоторых», – считает он. – «Безусловно, наличие Javascript и Flash очень важно для продавца, но оно ставит под угрозу безопасность eBay и его клиентов. Пока у eBay нет возможности автоматически идентифицировать вредоносные ссылки, Javascript должен быть отключен».
Пока же на сайте остаются десятки, если не сотни, активных аукционов, чьи описания являются ловушкой для неосторожных покупателей. Служба поддержки не всегда корректно реагирует на уведомления о таких аукционах. По информации одного из пользователей, когда он сообщил о том, что описание лота перенаправило его на подозрительную страницу, сотрудник поддержки eBay посоветовал ему «очистить cache и cookies».
Учитывая намек на «украинский след» во всем этом деле, мы обратились за комментарием к представителю отдела безопасности крупнейшего украинского аукциона Aukro.ua. Как сообщил нам сотрудник аукциона, аналогичный скандал на украинском ресурсе невозможен технически. Дело в том, что функционал HTML, JavaScript и других языков программирования здесь существенно урезан в целях безопасности, что делает переадресацию на фишинговые страницы практически невозможной. Судя по опыту eBay, эти ограничения установлены не напрасно.
