جدول المحتويات:
تعد خدمة الإنترنت / التليفزيون / الهاتف المنزلي في Comcast من واحدة من أكثر الخدمات شعبية في الولايات المتحدة ، ووفقًا لتقرير صادر عن BuzzFeed News ، فإن هناك ثغرات أمنية فردية تركت أرقام الضمان الاجتماعي وعناوين المنازل لجميع 26.5 مليون مشترك مكشوفين ومتاحين حتى المتسللين المبتدئين.
يقول كومكاست إنه لا يوجد سبب للاعتقاد بأن أي معلومات قد سُرقت بالفعل ، ولكن مع ذلك ، إليك ما يجب أن تعرفه بشأن ما يجري.
ماذا حدث؟
سمحت أول ثغرة أمنية للمهاجمين بالحصول على عناوين العملاء الكاملة باستخدام نظام المصادقة الداخلي في Comcast.
عند الاتصال بشبكة Xfinity المنزلية الخاصة بك ، يمكنك تسجيل الدخول لدفع فاتورتك ببساطة عن طريق اختيار العنوان الصحيح من قائمة من خمسة (انظر الصورة أعلاه).
كما تلاحظ أخبار BuzzFeed في مقالتها:
إذا حصل المتسلل على عنوان IP الخاص بالعميل وكومكاست مضلل باستخدام تقنية "X-forwarded-for" ، فيمكنهم تحديث صفحة تسجيل الدخول هذه مرارًا وتكرارًا للكشف عن موقع العميل. ذلك لأنه في كل مرة يتم فيها تحديث الصفحة ، ستتغير ثلاثة عناوين ، بينما يظل عنوان واحد ، العنوان الصحيح ، كما هو.
الضعف الثاني لديه القدرة على أن يكون أكثر ضررًا لأنه كشف الأرقام الأربعة الأخيرة من أرقام الضمان الاجتماعي ،
في صفحة تسجيل الدخول الخاصة بالموزعين المعتمدين Comcast (موظفو Comcast الذين يبيعون الخدمة لدى تجار التجزئة الآخرين) ، تسأل صفحة "عنوان عميل Exisitng" عن عنوان مستخدم وآخر أربعة أرقام من رقم SSN ورقم الحساب ورقم رخصة السائقين.
يتم عرض أرقام أرقام الضمان الاجتماعي الأربعة الأخيرة في هذه الصفحة ، وبمجرد الحصول على عنوان إرسال الفواتير لأحد العملاء ، يمكن للمهاجم استخدام هجوم القوة الغاشمة لإدخال مجموعات مكونة من أربعة أرقام بشكل متكرر حتى يحصلوا على المطابقة الصحيحة. في BuzzFeed الأخبار:
نظرًا لأن صفحة تسجيل الدخول لم تحد من عدد المحاولات ، يمكن للمتسللين استخدام برنامج يتم تشغيله حتى يتم إدخال رقم الضمان الاجتماعي الصحيح في النموذج.
ما يمكنك القيام به لحماية نفسك
منذ ذلك الحين تم تعطيل نظام المصادقة في المنزل بعد إخطار Comcast بالثغرة الأمنية ، وبالنسبة لتسجيل الدخول إلى الموزع المعتمد ، يقول كومكاست إنه يضع "حدًا صارمًا للأسعار على البوابة" لمنع إساءة استخدامه.
على الرغم من أن كومكاست لا يزال يجري تحقيقًا في الأمر ، إلا أن الشركة تقول إنها لا تعتقد أن أي معلومات قد استخدمت بطريقة غير مشروعة.
رغم ذلك ، ليس من المستحسن تحديث كلمة مرورك أو البدء في استخدام مصادقة ثنائية لجميع حساباتك على الإنترنت عندما ينبثق شيء من هذا القبيل. في هذه الحالات ، لن تكون آمنًا أبدًا.
أفضل مديري كلمة المرور للأندرويد
