🤖 Двофакторний захист, який надсилає код кому завгодно, тільки не власнику — черговий курйоз, який випадково розкопав ШІ
ШІ-агент компанії Reflectiz під час санкціонованого тестування сайту великої страхової компанії самостійно виявив критичну вразливість входу в особисті кабінети клієнтів.
Вразливість дозволяла отримати повний доступ до профілю в обхід стандартної двофакторної автентифікації.
🔍 У чому полягала помилка?
▪️ Одноразовий код підтвердження (OTP) за замовчуванням надсилався через SMS на перевірений номер клієнта.
▪️ У коді вебзапиту виявилися незахищені параметри каналу та адреси доставки 2FA
▪️ Агент замінив спосіб відправлення з SMS на email та підставив власну поштову скриньку замість даних власника акаунту.
▪️ Cервер прийняв підміну без перевірки — надіслав захисний код на адресу ШІ й успішно авторизував вхід стороннього.
👀 Чому це показовий кейс?
За 6 місяців до цього система проходила традиційний аудит від професійних пентестерів, але люди не помітили цю діру. ШІ-агенти не орієнтуються на типові шаблони поведінки — вони методично змінюють і перевіряють кожне поле у запитах доти, доки система не дасть збій.
💡Оновлюйте підходи до кіберзахисту: доповнюйте ручне тестування автономними ШІ-сканерами. ШІ не має «затуманеного ока», методично перебирає будь-які нестандартні змінні й нейтралізує вразливості до того, як ними скористаються хакери.
Telegram | Viber | Facebook | Instagram | WhatsApp | TikTok | ЧатовіОнлайн
🤖 Двофакторний захист, який надсилає код кому завгодно, тільки не власнику — черговий курйоз, який в
BRAMA
@brama_channel🇺🇦 Донать свій час на захист інфопростору! 🚨За підтримки волонтерів та координації кіберполіції України! 🤝Долучайся сам і запрошуй знайомих: https://t.me/+EbXZHBfHXbszY2I6 🤳додати ворожий ресурс, надіслати скаргу на деструктив - @stopdrugsbot
109,985 مشتركًا
فتح في تيليجرام