Η CCAvenue αρνείται την επίθεση hacking

Η εταιρεία παροχής online αγορών, CCAvenue, η οποία θεωρείται κορυφαία στα ινδικά χρηματοπιστωτικά ιδρύματα, πραγματοποιεί τις συναλλαγές των πελατών στο διαδίκτυο μέσω πιστωτικών καρτών και ibanking. Είναι μια από τις κορυφαίες ιστοσελίδες πληρωμής της Νοτιοανατολικής Ασίας.
Την Πέμπτη 5 Μαΐου η ιστοσελίδα δέχθηκε επίθεση από hacker με το κωδικό όνομα...

d3hydr8, ο οποίος πραγματοποίησε διαδικτυακή επίθεση με τη μέθοδο SQL injection. Η εύρεση των κωδικών πρόσβασης ήταν πολύ εύκολη αφού η στρατηγική που ακολουθεί η υπηρεσία είναι να τους αποθηκεύει στη βάση δεδομένων σε μορφή απλού κειμένου και όχι σε κρυπτογραφημένο κείμενο.




Ο Διευθύνων Σύμβουλος της CCAvenue, Aishwas Patel, χαρακτήρισε ως συκοφαντία το περιστατικό. Αυτό βέβαια φαίνεται να μην ισχύει αφού ο hacker όταν αποκάλυψε το κατόρθωμά του δημοσίευσε και έκδοση του server του site, Apache/2.2.14, ενώ ο Patel ισχυρίζεται ότι η έκδοση είχε αναβαθμιστεί σε 2.2.17 προ πέντε μηνών. Μια πρόσφατη εικόνα από τον server αποδεικνύει ότι η αναβάθμιση πραγματοποιήθηκε μόλις την ημέρα της επίθεσης.



Επίσης, πρόσθεσε, ότι οι κωδικοί είναι αποθηκευμένοι σε κρυπτογραφημένη μορφή και όχι σε μορφή κειμένου. Βέβαια, αντί να κρύβουν τα κενά ασφάλειας που έχουν με διάφορες δικαιολογίες, θα έπρεπε η παραβίαση να τους δώσει να καταλάβουν πως τα μέχρι τώρα μέτρα που έχουν πάρει δεν αρκούν.
Το περιστατικό έχει αναφερθεί στην CERT της Ινδίας ώστε να βοηθήσει την υπηρεσία να λάβει σωστά μέτρα ασφάλειας για τη βάση δεδομένων τους.













































πηγη