Meja bantuan pihak ketiga seperti ancaman siber muka sial

Selama bertahun-tahun, kedua-dua organisasi besar dan kecil telah mula bergantung kepada alat komunikasi seperti Slack untuk komunikasi dan kerjasama dalaman. Tetapi kerentanan yang serius baru saja ditemui dalam perkhidmatan bantuan pihak ketiga pihak ketiga yang boleh membiarkan sesiapa yang mempunyai pengetahuan memperoleh akses kepada komunikasi dalaman sulit.

Menurut Inti De Ceukelaire, yang mendapati kelemahan itu, sesiapa sahaja boleh mendapat akses kepada komunikasi dalaman walaupun pentadbir atau penjaga tidak memberi kebenaran kepada mereka secara jelas.

Kemalangan, Mudah Hack

Ini menjadi lebih kritikal dalam kes bantuan dan mengeluarkan pelacak di mana sistem sokongan bergantung pada ID domain yang sama. De Ceukelaire mengeksploitasi kaedah ini untuk meneruskan.

Dia membuat akaun di GitHub dan menaikkan tiket melalui e-mel. Selepas itu, dia mendapat akses ke alamat e-mel. Ini kemudian digunakan untuk mendaftar pada Slack yang digunakan oleh syarikat untuk komunikasi dalaman.

Adakah Meja Bantuan Automatik Dikecam?

Perisian atau aplikasi bantuan meja membolehkan pengguna mendapatkan penyelesaian yang cepat terhadap isu mereka dengan hanya menaikkan tiket atau dengan melaporkan isu.

Masalah sebenar terletak pada sistem pengesahan, yang secara amnya bermaksud bahawa sesiapa sahaja boleh menggunakan mana-mana alamat e-mel untuk mendapatkan akses kepada maklumat yang dikaitkan dengan akaun itu.

De Ceukelaire menulis di blognya, "Kelemahan ini wujud jika tiket sokongan boleh dibuat melalui e-mel dan jika tiket sokongan boleh diakses oleh pengguna dengan alamat e-mel yang tidak disahkan. Ia juga wujud dalam pelacak atau penerbit isu awam yang menyediakan alamat emel @ company.com unik untuk menghantar maklumat terus ke tiket, pos forum, mesej peribadi atau akaun pengguna."

: 10 Laman Web Paling Kerap Dieksploitasi oleh Peretas

Langkah-langkah Keselamatan

Ia adalah cara yang mudah, betul. Syarikat hanya boleh menukar alamat e-mel sokongan mereka supaya sesiapa sahaja tidak boleh mendapat akses ke alamat e-mel yang boleh digunakan untuk mendaftar untuk perkhidmatan seperti Slack atau Yammer.

Jika anda masih menggunakan alamat e-mel sokongan, pertimbangkan untuk mengubahnya.