باحث أمني يحل مشكلة بطاقة ائتمان موقع Ticketmaster

لايف نيشن إنترتينمنت

اضطر Ticketmaster مؤخرًا إلى تصحيح خرق خطير نسبيًا قد يؤدي إلى تسرب بيانات اعتماد بطاقة ائتمان عدة آلاف من العملاء. لقد عملوا بجد لتصحيح المشكلة ، لكن أحد الأفراد يعتقد أنه حل ما دفع إلى الهجمات في المقام الأول.

يعتقد كيفين بومونت ، أحد كبار الباحثين في مجال الأمن الرقمي في المملكة المتحدة ، أنه يعرف ماهية ناقل الهجوم. قدمت Inbenta برنامجًا آليًا للدردشة لمشرفي المواقع يعمل عن طريق استدعاء ملف JavaScript من خادم Inbenta البعيد.

تم استخدام سطر واحد من HTML لاستدعاء هذا الجزء المعين من JavaScript. رأى بومونت أن Inbent زودت Ticketmaster بسطر واحد من JavaScript أحادي الخط ربما استخدموه في صفحة الدفع الخاصة بهم دون إخطار فنيي Inbenta. نظرًا لأن الرمز موجود الآن على موقع معالجة الدفع الخاص بـ Ticketmaster ، فقد تم وضعه وظيفيًا وسط جميع معاملات بطاقات الائتمان التي تمر عبر الموقع.

بعد ذلك ، وفقًا لنظرية بومونت ، يمكن تنفيذ شفرة جافا سكريبت في متصفح العميل من نفس الصفحة التي كانت عليها معلومات بطاقة الائتمان الخاصة بهم. يجب أن يكون شخص ما قد قام بتعديل الكود ومنحه الصلاحية لفعل شيء ضار عندما فعل ذلك.

يبدو أن بحثه يشير أيضًا إلى أن أدوات مكافحة البرامج الضارة كانت تؤدي وظيفتها. تمكنت بعض برامج الأمان من البدء في الإبلاغ عن البرنامج النصي قبل عدة أشهر من إعلان وكلاء Ticketmaster أن الخرق قد حدث. يبدو أن ملف جافا سكريبت نفسه قد تم تحميله على بعض أدوات الاستخبارات الخاصة بالتهديدات ، وهو على الأرجح كيف تمكنوا من اكتشاف الاختراق في الوقت المناسب.

أعرب خبراء آخرون عن مخاوفهم بشأن تبعيات مكتبة JavaScript وكيف يرتبط ذلك بهذا النوع من الخرق. أصبح من الشائع أن يستخدم المبرمجون مستودعات git لحل مشاكل التبعية للجهات الخارجية من أجل استخدام بعض أطر عمل JavaScript التي تجعل وظائفهم أسهل.

على الرغم من أن هذه طريقة فعالة لإعادة استخدام التعليمات البرمجية ، إلا أن هناك مخاطرة في أن تحتوي بعض هذه التبعيات على شيء ضار. العديد من هذه المستودعات تقع أحيانًا ضحايا للمفرقعات التي تسيء استخدامها أيضًا ، مما يعني أنها يمكن أن تترجم إلى أماكن إضافية للكود غير الخاضع للتدقيق لإيجاد طريقة إلى قواعد مشروعة بخلاف ذلك.

نتيجة لذلك ، يعبر البعض عن رغبتهم في مزيد من الاهتمام بإجراءات تدقيق التعليمات البرمجية الصارمة من أجل تقليل مخاطر هذه الأنواع من المشكلات.