这70 000卡已泄露的支付网关铁路

从心脏出血漏洞，这成为昨日著名的世界​​另一个噩耗。





这些卡，用于购买门票网上铁路已被破坏，原因很简单，该漏洞被封闭心脏出血漏洞只一周后（2013年4月15日） I>。这么长的时间，未知的攻击者可以从网站上肆无忌惮地窃取数据，采用广受赞誉的漏洞。

提请注意的问题，并激励用户补发他们的卡被身份不明的黑客创建的网站 sos-rzd.com 的，这是奠定了转储记帐4月14日。总数量的记录10532，这表明约70000卡一周妥协，因为该漏洞。作者呼吁出于某种原因的20万的数字。

在这种情况看起来铁路和VTB24奇怪的反应。他们完全否认漏洞，并指责钓鱼网站的活动

下面是来自俄罗斯外贸银行24新闻服务与RBC
评论 <大段引用>«上通过网上购票的支付网关进行任何攻击 www.rzd.ru 的，是不是。网关保护标准的支付卡数据安全的最新版本。所有客户都通过它进行交易，保证绝对安全支付，“ - 说的信贷机构的RBC发言人。来源RBC银行是肯定的：该网站创建为游客留下他有证据表明自己的底牌块引用>
。 不过，这一说法是不真实的。漏洞的网站是铁道部对此笔者在主题什么威胁心脏出血漏洞简单的用户写的？，他证实，该漏洞已经被发现了它们正好俄罗斯外贸银行24和网关是铁路线上。

从新闻服务
另一个评论 <大段引用>如果你仔细观察的部位，它本身提出了许多问题：不是用数字的名称，缩写，符合俄罗斯或部分名称，它不能在银行卡的情况。看来，这只是一个假的。块引用>
也很奇怪的说法。该漏洞允许获得来自服务器的存储器中的数据，分别地，如果用户已经输入了不正确或不完全的数据，它们将是相同的，并在转储。但是，这些数据证实了广大用户的真实性。例如，阿列克谢Kopylov，该公司的Flexis的导演之一，证实了其数据是在列表中，导致照片卡+电子票的屏幕截图。



 

也间接印证了数据维克托·李森科，CEO Roketbanka，看好补发列表中的所有卡片的真伪。

不收敛良好，网络钓鱼活动。在网站上提供了一个检查，只有10的卡号的16位数字。而对于特别不信任，您可以下载数据库文件，检查本地。

此外，似乎该网站是针对媒体宣传上运行。这样的大网站，如红细胞，SecurityLab，JustMedia和其他不明白的问题，采取一个立场，VTB24叫钓鱼网站。

可悲的是，俄罗斯大型企业，而不是认识到这个问题，并采取行动，共同解决它，假装什么都没有发生，并行，试图钳制冷漠的IT专业人士。

资料来源： habrahabr.ru/post/219691/