Уязвимость на три миллиона: как приватный код открылся без пароля
Уязвимость на три миллиона: как приватный код открылся без пароля Аудит одной производственной компании показал: их система хранения кода была видна любому в интернете — без единого пароля. Собственник был уверен: код и внутренние разработки под замком, сервер свой, доступ только у команды разработчиков. Программа для хранения кода стояла на собственном сервере, но версия оказалась устаревшей. Достаточно подменить один заголовок в обычном браузерном запросе — и система решала, что пользователь уже вошёл. Ни пароля, ни второго шага проверки — просто заголовок, который подделывается за минуту. Что лежало внутри без защиты • Пароли от системы учёта и облачных сервисов • Доступы к внутренним базам данных • Код собственных разработок компании • Переписка и данные по клиентам Если бы этим воспользовался конкурент или мошенники, компания рисковала потерять больше трёх миллионов рублей — на утечке клиентской базы, простое производства и репутационных потерях. Дыра нашлась не в сложном шифровании, а в самой обычной настройке доступа — той, которую никто не проверял два года. Закрыли за один вечер: обновили систему, настроили руководителю оповещение о подозрительных заходах, добавили второй шаг проверки при входе. Дешевле, чем один потерянный клиент. А вы уверены, что ваш «приватный» сервер действительно приватный? #иб #аудит #утечкаданных Полный разбор с деталями кейса → Бесплатный аудит безопасности Сколько стоит взлом Канал в Telegram