Poste Italiane: ma quale attacco superficiale, online nomi e cognomi

NOTA: questo articolo è stato pubblicato 2 anni 3 mesi 23 giorni fà, quindi alcuni contenuti o informazioni presenti in esso potrebbero non essere aggiornate.

In rete si sono scritti articoli, aperte discussioni, riguardo all’ attacco di defacement del sito web Poste Italiane avvenuto sabato sera 10 ottobre messo a segno da due hacker che si firmano Mr.Hipo e StutM.

Questo il messaggio lasciato dagli hacker che campeggiava sabato sera sul sito web di Poste Italiane:

“Le Poste italiane sono state oscurate ?!
Perchè questo atto di forza?
Per dimostrare a milioni di Italiani
che i loro dati sensibili non sono al sicuro!
Sembra pazzesco eppure tutta la sicurezza garantita
nei servizi on-line di e-commerce è solamente apparente.
Per vostra fortuna noi siamo persone non malintenzionate,
perciò i vostri dati ed i vostri accounts non sono stati toccati;
Ma cosa succederebbe se un giorno arrivasse qualcuno
con intenzioni ben peggiori delle nostre?
Con questo gesto quindi, invitiamo i responsabili ad occuparsi
della grave mancanza di sicurezza nei servizi on-line delle Poste s.p.a”

All’ indomani Poste Italiane rilascia un comunicato che rassicura gli utenti in merito alla sicurezza dei dati personali e minimizza l’ accaduto: “È solo un ‘defacement’ che riguarda il sito informativo di Poste.it. Non sono stati violati i server con i dati personali degli utenti, che quindi non sono mai stati in pericolo” afferma Gerardo Costabile, responsabile Sicurezza Logica, Poste Italiane.

Incuriosito dal commento di rizlox lasciato su Un Grazie agli Hacker delle Poste Italiane, approfondisco ulteriormente quelo che sembra ad una prima superficiale lettura un comune ed innocuo defacement.

Come al solito arrivo esimo.
In un articolo dal titolo Poste Italiane sotto attacco hacker, SoS Tariffe segnala che nonostante il bug fosse noto da tempo, quasi 3 mesi, Poste italiane non ha in alcun modo provveduto a risolvere il grave problema.

Sul sito BayWorlds nell’ articolo
Poste Italiane hacked, sql injection pubblicato il 5 settembre veniva spiegato come era possibile effettuare un attacco sfruttando sql injection.
Inoltre sono pubblicate due immagini (screenshot) che senza ombra di dubbio dimostrano l’ accesso al database e ai dati sensibili degli utenti e che per completezza d’ informazione mostro sotto.

Prima immagine: interfaccia grafica DBMS Oracle.

Seconda immagine: tabelle database e alcuni dati sensibili.

(Clicca sull’ immagine per ingrandire)


Alla luce dei fatti sorgono spontanee alcune riflessioni:

1 – il furto dei dati sensibili quali password, numeri di carta di credito, ecc… sono veramente da attribuirsi nella maggior parte dei casi alle note email di phishing ?

2 – i due hacker assicurano che era un’ azione dimostrativa, ma quali altre persone erano a conoscenza del bug ? e sopratutto avevano la stessa meritevole intenzione ?

3 – perchè Poste dopo essere state avvisata anticipatamente del grave problema di sicurezza (Until today (09-08-2009), Poste Italiene has not responsed in any way and the parameter is still vulnerable, exploitable.) con il potente sistema di controlli e le squadre di ingegneri non ha provveduto immediatamente a eliminare il bug ?

Attendo vostre opinioni in merito alla vicenda e sopratutto quali riposte dare ai tre quesiti ?!

Ti è piaciuto l’ articolo ?
Vuoi ricevere i nuovi articoli comodamente nella tua casella e-mail?
Iscriviti alla Newsletter gratuita!
————————————————

Segui @towerlight2002

+towerlight2002 Google+

Condividi l'articolo con i tuoi amici!