Trang thương mại điện tử Emart để lộ thông tin hơn 15000 người dùng

Bài viết được lấy từ Facebook: Trần Ngọc Quốc Phong. Link bài viết gốc đã được sự cho phép của tác giả

Cuối tuần trước, tôi có đi siêu thị Emart, trong lúc ngồi đợi người thân, tôi có sử dụng hệ thống Wifi của siêu thị, và được chuyển hướng tới trang thương mại điện tử của Emart.
Tại đây tôi quan sát và đoán trang web có thể bị SQL Injection, sau khi sử dụng điện thoại để thử thì tôi phát hiện lỗ hổng SQL Injection như ở hình 1.

Về cơ chế bảo mật của Emart tôi đánh giá có sử dụng Web Application Firewall để ngăn chặn tấn công. Về kĩ thuật tấn công tôi không nói rõ trong phần này.

Vào thứ 2 (ngày 27/08/2018) tôi đã cố gắng liên hệ với Emart (thông qua email info@emart.vn như hình 2) để thông báo về sự cố bảo mật tôi phát hiện được. Ngoài ra tìm trên địa chỉ liên hệ của Emart có số điện thoại hotline (0909 100 953). Tôi đã liên hệ và được hướng dẫn gửi vào hộp thư internal_audit@emart.vn và tôi đã forward lại nội dung tôi đã gửi ở địa chỉ mail trước (hình 3)

Khoảng 5 phút sau, tôi nhận được mail từ một bạn tên Lệ, gửi lại thông báo đã chuyển cho bộ phận IT (hình 4).
Từ đó tôi không hề nhận được bất cứ thông tin nào từ Emart.

Thứ 4 (ngày 29/08/2018), tôi có vào kiểm tra lại lỗ hổng cũ tại trang web emartmall.com.vn. Và nhận thấy lỗi này chưa được fix, tôi có thông tin lại cho Emart (như hình 5), từ đó đến nay vẫn không nhận được phản hồi từ Emart.

Thứ 3 tuần vừa rồi (ngày 04/09/2018) tôi vào lại emart và kiểm tra, lỗ hổng đã được khắc phục (một cách chấp vá, nên đâu đó chưa nhận ra được lỗ hổng thực sự). Tôi cũng không còn hứng thú để tiếp tục.

Qua việc này, tôi nhận xét bộ phận IT, và ngay cả bộ phận Internal Audit của Emart không hề (muốn) hợp tác trong quá tình khắc phục sự cố. Khi thông báo với Emart, tôi đã mong đợi các bạn có một động thái tích cực hơn (như việc gửi mail toàn bộ người dùng, hoặc công bố tình trạng hệ thống để người dùng biết mà thực hiện đổi mật khẩu toàn bộ tài khoản).

Database chứa thông tin từ số điện thoại, email, mật khẩu, địa chỉ nhà, và cả IP các bạn dùng để đăng nhập. Những kẻ tấn công (attacker) khi chiếm được những thông tin này có thể giải mã được mật khẩu người dùng, sử dụng mật khẩu đó để đăng nhập vào các thông tin liên quan của người dùng. Hoặc sử dụng những thông tin đó cho mục đích xấu, Không ai đoán được 🙂

Vì sao tôi tin những thông tin này đã bị lộ? Lỗ hổng bắt đầu bằng lỗi rất sơ đẳng, rất dễ khai thác được (mặc dù có các kĩ thuật chặn, tuy nhiên không giải quyết được tận gốc vấn đề nên vẫn bị bypass) nên có khả năng rất cao cơ sở dữ liệu đã bị khai thác âm thầm và thông tin người dùng đang bị nguy hiểm.