Личные данные клиентов и сотрудников банка оказались в открытом доступе - ГТС
27.04.2023
Банки Казахстана
Источник:
Tengrinews
Пароли к внутренним сервисам одного из казахстанских банков оказались в открытом доступе. Об этом заявили в Государственной технической службе (ГТС), передает Tengrinews.kz.
В процессе мониторинга казахстанского сегмента интернета специалисты ГТС обнаружили уязвимость на интернет-ресурсе одного из казахстанских банков второго уровня. Речь идет о CWE-530 - уязвимость, которая возникает, когда резервные копии файлов (бэкап) веб-приложения остаются открытыми для несанкционированного доступа.
"Специалисты ГТС обнаружили бэкап файл, доступный для скачивания неавторизованным пользователям, содержащий исходный код веб-приложения. Бэкап файл содержал персональную информацию клиентов и сотрудников банка, а именно 11 файлов, среди которых находилась информация о сотрудниках банка с паролями от доступа к VPN", - сообщили в организации.
Технически используя эти данные, можно было удаленно подсоединиться к внутренней системе банка и самостоятельно провести платеж, получить доступ к финансовым системам либо подменить платежные реквизиты клиентов, пояснили в ГТС.
На сегодняшний день уязвимость устранена. Тем не менее в Государственной технической службе порекомендовали банкам второго уровня и финансовым организациям ограничить доступ к бэкап файлам неавторизованных пользователей.
В процессе мониторинга казахстанского сегмента интернета специалисты ГТС обнаружили уязвимость на интернет-ресурсе одного из казахстанских банков второго уровня. Речь идет о CWE-530 - уязвимость, которая возникает, когда резервные копии файлов (бэкап) веб-приложения остаются открытыми для несанкционированного доступа.
"Специалисты ГТС обнаружили бэкап файл, доступный для скачивания неавторизованным пользователям, содержащий исходный код веб-приложения. Бэкап файл содержал персональную информацию клиентов и сотрудников банка, а именно 11 файлов, среди которых находилась информация о сотрудниках банка с паролями от доступа к VPN", - сообщили в организации.
Технически используя эти данные, можно было удаленно подсоединиться к внутренней системе банка и самостоятельно провести платеж, получить доступ к финансовым системам либо подменить платежные реквизиты клиентов, пояснили в ГТС.
На сегодняшний день уязвимость устранена. Тем не менее в Государственной технической службе порекомендовали банкам второго уровня и финансовым организациям ограничить доступ к бэкап файлам неавторизованных пользователей.