אתר N12 חושף כי קארדקום, אחת מחברות הסליקה הגדולות בישראל, נמצאה פרצת אבטחה הקשורה לקישור קבלות עבור רכישות שביצעו. יזם וחוקר אבטחת המידע, ליאור בן דוד, בדק את הקישור אותו מקבלים כאשר מבצעים רכישה אונליין ומצא את חולשתו.

"הם עשו שימוש בקומבינציות שונות של ארבע אותיות באנגלית, קטנות וגדולות", מסביר בן דוד. "יצרתי מילון עם כל האופציות האפשריות של הפרמטר, זה יוצא בערך 7.3 מיליון אפשרויות, ואז שיניתי את הפרמטר בסוף ה-URL והורדתי את החשבוניות". מדבריו של בן דוד מתברר כי מדובר בקישור גנרי וקל זיהוי.

לדבריו של בן דוד, המסמכים שהוא הוריד כללו מספר זהות, אימייל, טלפון, כתובת, ארבע ספרות אחרונות של כרטיס אשראי, וכמובן פירוט הרכישה. באמצעות מידע זה, אדם הרוצה להזיק יכול בקלות להונות או לסחוט את מי שפרטיו מצויים בקבלות. בן דוד מספר כי "החולשה דווחה לבעלים והמנכ"ל יניב עבו, שטען במייל שהיא תוקנה".

עוד ב-

חברת אבטחת המידע עם פיתוח חדש שצפוי לסייע הגנה מובנת

לכתבה המלאה

מקארדקום נמסר בתגובה: "ראשית, נדגיש כי לאחר בדיקות מקיפות ורחבות שבוצעו, לא זוהתה אף זליגה של נתונים ומידע מהמערכת – לא בנוגע לפרטי חשבוניות, לא נתונים אישיים וכמובן לא פרטי כרטיסי אשראי וסיסמאות. חברות קארדקום משקיעה רבות בנושא אבטחת מידע ומבצעת באופן קבוע בדיקות אבטחה שונות. ב-23.9.22, דווחה אפשרות לתקיפה סייבר פוטנציאלית שהייתה קשור לפרטי חשבוניות בלבד. צוות מקצועי טיפל בתקלה וכאמור שלל אופציה של זליגת נתונים – החולשה הנ"ל לא נוצלה בפועל ולא דלף מידע לצדדים שלישיים, מעבר לגורם המדווח. חברת קארדקום ממשיכה להשקיע בשירות מקצועי ומסור עבור לקוחותיה, לרבות פיתוח מוצרי אבטחת מידע וכלים מתקדמים ומגוונים אחרים".