Gen 03, 2022 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

La vulnerabilità consente di creare e inviare email dal sistema di posta elettronica della piattaforma. Rischio truffe e attacchi per gli utenti.

Una platea di potenziali vittime di milioni di individui, cioè tutti gli utenti Uber che potrebbero essere raggiunti da email apparentemente provenienti dalla piattaforma per il trasporto tramite veicoli con conducente.

È questo, in sintesi, il risultato di una vulnerabilità che affligge il sistema di posta elettronica del colosso di San Francisco. La falla, infatti, permetterebbe a chiunque di inviare email per conto di un account Uber.com, aprendo la strada ad attacchi di phishing e truffe.

A individuare il problema è stato il ricercatore Seif Elsallamy, che ha immediatamente contattato l’azienda per segnalare il problema.

I responsabili del programma HackerOne di Uber, però, non sono propriamente delle “aquile” e sembrano non aver capito assolutamente quali rischi stiano correndo.

Come si legge in questo scambio postato su Twitter dallo stesso Elsallamy, chi gli ha risposto ha deciso che la vulnerabilità non rientrerebbe tra quelle previste come “problematiche”, perché riguarderebbe tentativi di phishing o attacchi basati su ingegneria sociale agli impiegati di Uber. Risultato: dalle parti di Uber non si sarebbe ancora fatto nulla per mettere mano al sistema.

Se qualcuno dovesse scoprire come sfruttare il bug, di conseguenza, potrebbe tuttora inviare email provenienti da account apparentemente (ed effettivamente) appartenenti a Uber a qualsiasi utente, inducendolo per esempio a fornire le sue credenziali di accesso al servizio o informazioni sensibili come i dati della carta di credito.

Il ricercatore, nei suoi post, fa notare anche come i pirati informatici potrebbero facilmente procurarsi un elenco piuttosto “nutrito” di potenziali vittime. L’ultimo data breach subito dall’azienda ha portato infatti a un leak dei dati (compresa la posta elettronica) di 57 milioni di utenti.

Speriamo che nelle prossime ore la sua comunicazione venga letta da qualcuno che ne capisca qualcosa di sicurezza informatica.