Как забытый API-ключ открыл нам мир мошенников
Как забытый API-ключ открыл нам мир мошенников #статья #полезное #мошенники Мошенники за последний год начали активно использовать бренд Flowwow в своих корыстных целях. И нам это порядком надоело. А тут подвернулся случай, где сошлись все звезды. В рамках нашей стандартной процедуры — проверки подозрительных ссылок, попавших в наше поле зрения, — мы нашли ошибку, совершенную злоумышленниками. Потирая ручки, мы этим воспользовались. Они оставили API-ключ доступа к своему Telegram-каналу в открытом виде. Механика их работы выглядела так: существовал фишинговый сайт с формой авторизации через Госуслуги. Когда жертва вводила логин и пароль, эти данные с помощью вебхука должны были автоматически улетать в закрытый Telegram-канал. Это нужно мошенникам, чтобы оперативно перехватить информацию и авторизоваться в настоящем сервисе за пользователя. Изучая сайт, мы заметили тот самый API-ключ. Оказалось, что он настроен некорректно и позволяет не только отправлять сообщения с данными жертв, но и добавлять новых администраторов или участников в чат. Мы воспользовались этой уязвимостью: применили токен, вписали свои ники и принудительно авторизовались в их закрытом Telegram-канале. Нам оставалось только сидеть и смотреть, чем именно они промышляют. 🔗 Ссылка на статью LH | OSINT | Курсы
Канал в каталоге Максиметера
830 подписчиков · Наука