Fiserv是一家為金融機構(gòu)提供數(shù)十億美元資產(chǎn)的網(wǎng)絡(luò)安全技術(shù)提供商，但卻忘記了購買其系統(tǒng)電子郵件通信中的默認(rèn)域名（@xxx.com）。

這個錯誤可能使向其客戶發(fā)送的用戶私密信息暴露給任何愿意花幾美元購買該域名的人，但是，在此之前，安全研究員亞伯拉罕·維格（Abraham Vegh）去年11月發(fā)現(xiàn)了這個可怕的漏洞。

Vegh在安全報告中解釋說，他當(dāng)時從銀行收到了一封電子郵件，其中包括域名defaultinstitution.com。他檢索后發(fā)現(xiàn)該域名居然尚未注冊，他隨即將其購買并將其鏈接到一個電子郵件地址，看看有什么“收獲”。

果不其然，Vegh收到了來自Fiserv用戶的郵件，其中包括匯款服務(wù)Cashedge.com，該網(wǎng)站試圖告知其客戶，他們已將Zelle作為其主要服務(wù)。Vegh解釋說，這些電子郵件包括ID、轉(zhuǎn)賬金額和日期、發(fā)件人的后四個賬戶數(shù)字和收件人的電子郵件地址。

Vegh透露：“未注冊的域名似乎是默認(rèn)提供的，F(xiàn)iserv的銀行客戶的IT部門要么假設(shè)他們不需要更改它，要么不知道他們可以/應(yīng)該這樣做?！?/p>

Fiserv另外一個客戶Netspend.com（預(yù)付費借記卡提供商）也出現(xiàn)在Vegh的“默認(rèn)位置”收件箱中，還有TCF國家銀行、聯(lián)合銀行和其他留有個人用戶信息的收件箱中。

此后不久，即2月26日，Vegh關(guān)閉了“defaultinstitution”電子郵件。

據(jù)Threatpost報道，F(xiàn)iserv在聲明中承認(rèn)了這一事件。

聲明說：“在得知情況后，我們立即進(jìn)行了分析，以查找和替換占位符域名的實例?！薄拔覀冞€通知了有關(guān)客戶?！?/p>

Fiserv表示，已經(jīng)購買了默認(rèn)域名，獲取了電子郵件，并正在努力通知受影響的用戶。

聲明補充說：“我們將不再使用非Fiserv擁有的域的占位符域名?！?/p>

New Net Technologies全球副總裁Dirk Schrader指出，暴露的數(shù)據(jù)可能已用于社交工程企業(yè)電子郵件泄露類型的騙局中。

Schrader說：“Fiserv嚴(yán)重違反了金融機構(gòu)的基本網(wǎng)絡(luò)安全要求?！笆褂梦醋缘挠蛎麨榫W(wǎng)絡(luò)釣魚和其他許多攻擊媒介打開了大門。”

Schrader補充說，金融科技公司需要完全控制和保護通信，并補充說：“這對于Fiserv客戶意味著巨大的災(zāi)難和財務(wù)損失風(fēng)險?！?/p>

[超站]友情鏈接：

四季很好，只要有你，文娛排行榜：https://www.yaopaiming.com/
關(guān)注數(shù)據(jù)與安全，洞悉企業(yè)級服務(wù)市場：https://www.ijiandao.com/