Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Falla in LiveChat: accessibili informazioni sull’operatore

Apr 04, 2018 Marco Schiaffino In evidenza, Leaks, News, RSS, Vulnerabilità 1

I widget per la chat dal vivo di LiveChat e TouchCommerce consentono di ottenere nome, email e altre informazioni sensibili.

A prima vista non sembrerebbe un grosso problema, ma molti esperti di sicurezza sottolineano che il bug potrebbe avere conseguenze piuttosto preoccupanti per la sicurezza delle aziende coinvolte.

E stiamo parlando di società del calibro di Disney; Google; Verizon; Vodafone; Bank of America; ING; PayPal; Orange; Sony; Tesla; Bitdefender e Kaspersky.

La falla di sicurezza individuata in alcuni widget per la chat online (LiveChat e TouchCommerce) dai ricercatori Cody Zacharias e Kane Gamble riguarda la possibilità che un utente riesca a ottenere numerose informazioni personali riguardanti l’operatore con cui sta parlando.

Nel dettaglio, il report spiega che sarebbe possibile ottenere il suo vero nome e identificativo, l’indirizzo di posta elettronica aziendale, il luogo in cui lavora, il nome del dipartimento, il nome del suo supervisore e relativo identificativo e altri software che sta utilizzando.

L’annuncio su Twitter ha sollevato il caso. Non risulta però che le due società software abbiano avviato lo sviluppo di un aggiornamento che risolva il problema.

Il problema non è tanto quello del rischio che un cliente insoddisfatto possa avviare un’attività di stalking o bombardare la casella email dell’operatore con insulti o minacce, quanto la possibilità che qualcuno utilizzi quelle informazioni per confezionare email di phishing estremamente credibili, che potrebbero permettere attacchi mirati alle aziende.

I cyber-criminali, tra l’altro, non dovrebbero nemmeno sforzarsi troppo per individuare le aziende potenzialmente vulnerabili. LiveChat ha infatti una pagina del suo sito che contiene l’elenco completo dei clienti e lo stesso vale per TouchCommerce.

Secondo i due ricercatori, però, non tutti i widget consentono l’accesso ai dati e anche quelli vulnerabili espongono informazioni diverse a seconda della configurazione dei sistemi.

Zacharias e Gamble hanno reso pubblica la vulnerabilità dopo aver contattato (o aver provato a contattare) gli sviluppatori dei widget. Ora è prevedibile che parta la corsa alla patch, mentre sul fronte opposto c’è da scommettere che i pirati informatici si stanno già dando un gran da fare a raccogliere informazioni che possono tornare utili per futuri attacchi.

Condividi l'articolo