ALERTA: Falha de segurança grave no site da FNAC

Rodolfo · Post by **Rodolfo** » March 4th, 2004, 4:53 pm

Vivas,

Estou siderado com o que aconteceu comigo agora mesmo...

Por razões obvias não irei referir o procedimento que me permitiu a aceder ao login de outro sujeito... Entrei normalmente no site e segui os procedimentos normais solicitados pelo site.
o que aconteceu foi que fiquei com um login de outro sujeito ... ate tenho o telefone deste tipo e tudo!

Ja liguei á FNAC a avisar deste problema e vou entretanto ligar ao outro Rodolfo...

E usam eles o logo do Verisign| Pergunto-me se nao terá acontecido antes com gente menos honesta...

Rodolfo Gallego
http://www.dvdprofiler.com/mycollection ... s=rodolfog
As minhas fotos: http://www.pbase.com/rodolfog

Saxo · Post by **Saxo** » March 4th, 2004, 5:05 pm

Atenção que se estás por detrás de uma firewall e proxie, podes ter apanhado a sessão de alguém que saiu sem a fechar a sessão e que pertence à tua rede. A falha não é da FNAC. Penso eu de que...

Rodolfo · Post by **Rodolfo** » March 4th, 2004, 5:06 pm

Nao é da Fnac?

Eu até sei onde o homem vive... e telefone, as compras que fez, etc...

Rodolfo Gallego
http://www.dvdprofiler.com/mycollection ... s=rodolfog
As minhas fotos: http://www.pbase.com/rodolfog

Saxo · Post by **Saxo** » March 4th, 2004, 5:19 pm

"Por razões obvias não irei referir o procedimento que me permitiu a aceder ao login de outro sujeito... "
Pode não ser da FNAC, mas para isso era preciso mais informações que compreendo não possas dar.
Mas, se eu da empresa aceder ao meu webmail e se alguém tiver acedido antes e não tiver fechado a sessão, pode acontecer aceder às informações dessa pessoa.

Rodolfo · Post by **Rodolfo** » March 4th, 2004, 5:31 pm

Saxo,

Façamos o seguinte... queres que eu te telefone? Regista-te no site da FNAC, diz-me so o teu login que eu já te ligo...

Rodolfo Gallego
http://www.dvdprofiler.com/mycollection ... s=rodolfog
As minhas fotos: http://www.pbase.com/rodolfog

lemor · Post by **lemor** » March 4th, 2004, 7:22 pm

E então ? Conseguiram repetir a falha de segurança ?
Quais as vossas conclusões ?

Rodolfo · Post by **Rodolfo** » March 4th, 2004, 8:10 pm

eu ja fiz a minha parte... telefonei, reportei o erro à Fnac por voz e por escrito.

Exigi também que a FNAC apague todo e qualquer vestigio da minha pessoa dos servidores deles.... se não sabem brincar ao comércio electronico então não brinquem... gastem mais uns euros num site seguro e decente.

Quanto ao outro senhor, vou entrar em contacto com ele, ate pq sem querer ele ja nao tem a conta dele... mudei a password. (pensando que era o meu login)

Mais não faço... nãop vou tentar mais entrar em conta nenhuma. Mas digo uma coisa... ou a Fnac me dá provas cabais de que resolveram o problema ou levo isto ás autoridades competentes!

Uma empresa daquelas no mínimo tem de respeitar os dados que os clientes, em relação de boa-fé e confiança, lhes confiam!

Green_Lion · Post by **Green_Lion** » March 4th, 2004, 8:56 pm

Rodolfo, não percebi:
- quando entraste no site da fnac já tava aberta a sessão de outro gajo ou conseguiste fazer login na conta de outra pessoa sem saberes a password?
- mas tavas num PC público? ou tavas na tua casinha e és o único a mexer no PC?

Ricardo Caiado, 20 anos, Ponta Delgada

Rodolfo · Post by **Rodolfo** » March 4th, 2004, 9:08 pm

foi assim... estava num pc meu e so meu... e não conheço o bacano de lado nenhum!

Para explicar melhor teria de dizer como se faz a coisa... digo o seguinte.... segui apenas os procedimentos normais e por acaso e numa sequencia certa fiquei com acesso ao login do outro rodolfo.

Esqueçam pc´s partilhados, firewalls etc que nao tem nada a ver...

imaginem-se em vossa casa a querer aceder ao vosso login e pimba!
A Fnac ja esta informada do problema... e o outro tipo também... e digo que ele também nao está contente com a Fnac.

Rodolfo Gallego
http://www.dvdprofiler.com/mycollection ... s=rodolfog
As minhas fotos: http://www.pbase.com/rodolfog

lemor · Post by **lemor** » March 4th, 2004, 9:27 pm

Parabéns Rodolfo.
Gostei da forma como procedeste, com honestidade e firmeza.

Béu · Post by **Béu** » March 4th, 2004, 10:20 pm

Aconteceu uma coisa parecida ao meu pai, mas foi pior, porque foi na conta do Banco.
Ele estava em casa, no computador e precisava de fazer umas transações, e entrou na conta dele, quando se apercebe que na conta dele aparecia os dados de outra pessoa e outra conta, ele ligou imediatamente para o banco, porque se ele tinha o acesso a outra conta, como também podiam ter o acesso à conta dele.
O assunto foi resolvido de imediato e pediram imensa desculpa ao meu pai pelo sucedido.
Eu nessa altura tinha acabado de pedir uma conta netbanco e não estava nada a achar piada à situação.

Béu

Preis · Post by **Preis** » March 5th, 2004, 12:54 am

<blockquote id="quote"><font size="1" face="Verdana, Arial, Helvetica" id="quote">quote:<hr height="1" noshade id="quote"><i>Originally posted by Rodolfo</i>

E usam eles o logo do Verisign| Pergunto-me se nao terá acontecido antes com gente menos honesta...

<hr height="1" noshade id="quote"></blockquote id="quote"></font id="quote">

Os certificados da Verisign servem apenas para garantir o envio seguro dos dados, permitindo o uso de HTTPS. Pormenores técnicos á parte, não existe grande dificuldade para adquirir um certificado desses basta que se pague o que eles pedem.
O problema que se deparou trata-se duma valente gralha na programação do site, daquelas que jamais poderiam passar pelos testes antes do lançamento... mas enfim. O que é giro é que o site continua aberto, e possivelmente vulneravel...