Omer Attias<\/a>, un investigador de seguridad de SafeBreach, dijo que encontr\u00f3 tres vulnerabilidades en la aplicaci\u00f3n Moovit, lo que le permiti\u00f3 recopilar informaci\u00f3n de registro de nuevos usuarios de Moovit de todo el mundo, incluidos n\u00fameros de tel\u00e9fono celular, direcciones de correo electr\u00f3nico, domicilios y los \u00faltimos cuatro d\u00edgitos de tarjetas de cr\u00e9dito. Lo peor de todo es que los errores podr\u00edan haberle permitido apoderarse de las cuentas de otras personas y, en consecuencia, de sus tarjetas de cr\u00e9dito, para pagar sus propios viajes.<\/p>\nToda esta cadena de exploits podr\u00eda haberse realizado sin que el objetivo se enterara, adem\u00e1s de ver cargos no deseados en su tarjeta de cr\u00e9dito. Attias lo llam\u00f3 \u201cel ataque perfecto\u201d.<\/p>\n
\u201cPodemos suplantar completamente las cuentas, sin desconectarlas. Es una locura, en realidad tenemos la capacidad de realizar todas las operaciones en nombre de diferentes cuentas, incluido el pedido de boletos de tren\u201d, dijo Attias a TechCrunch en una entrevista antes de su charla en la conferencia de hacking Def Con en Las Vegas. \u201cY adem\u00e1s, podemos acceder a toda su informaci\u00f3n personal\u201d.<\/p>\n
Para demostrar el impacto de los errores que encontr\u00f3, Attias cre\u00f3 una interfaz personalizada que le permiti\u00f3 controlar las cuentas de otras personas con un par de toques. Y aunque Attias dijo que prob\u00f3 sus haza\u00f1as solo en Israel, dijo que cree que podr\u00eda haber funcionado en otras ciudades dado que Moovit opera en todo el mundo.<\/p>\n
Moovit es una startup israel\u00ed que fue adquirida por Intel en 2020 por 900 millones de d\u00f3lares. La aplicaci\u00f3n permite a los usuarios encontrar rutas y ver mapas de sistemas de transporte p\u00fablico, as\u00ed como comprar y usar boletos. La aplicaci\u00f3n y su tecnolog\u00eda subyacente se utilizan ampliamente en todo el mundo: Moovit afirma servir a 1.700 millones de pasajeros en 3.500 ciudades en 112 pa\u00edses.<\/p>\n
Si bien el impacto de estas vulnerabilidades fue potencialmente masivo, Moovit dijo que no hay evidencia de que los piratas inform\u00e1ticos malintencionados hayan encontrado y explotado estos errores. Attias dijo que inform\u00f3 todos los errores que encontr\u00f3 a la empresa en septiembre de 2022 y, posteriormente, la empresa los solucion\u00f3.<\/p>\n
\u201cMoovit estaba al tanto y solucion\u00f3 el problema cuando se inform\u00f3, y tom\u00f3 medidas inmediatas para terminar de corregir el problema\u201d, dijo a TechCrunch la portavoz de Moovit, Sharon Kaslassi. \u201cLas vulnerabilidades se solucionaron hace mucho tiempo y no se requiere ninguna acci\u00f3n del cliente. Es importante tener en cuenta que ning\u00fan malhechor se aprovech\u00f3 de estos problemas para acceder a los datos de los clientes. Adem\u00e1s, no se expuso la informaci\u00f3n de la tarjeta de cr\u00e9dito, ya que Moovit y Moovit-Pango no guardan la informaci\u00f3n de la tarjeta de cr\u00e9dito en el archivo\u201d.<\/p>\n
Kaslassi tambi\u00e9n dijo que \u201cel servicio de emisi\u00f3n de boletos relevante para estos hallazgos est\u00e1 activo solo en Israel\u201d.<\/p>\n
\u201cSeg\u00fan nuestros registros, ni Safebreach ni nadie m\u00e1s se aprovech\u00f3 de los datos de los clientes dentro o fuera de Israel\u201d, agreg\u00f3 el portavoz.<\/p>\n
En respuesta a los comentarios de Moovit, Attias dijo que \u00e9l y sus colegas \u201ccreen que podr\u00edamos haber cobrado a cualquier cliente, sin limitarse a los clientes israel\u00edes. No hemos visto ning\u00fan diferenciador entre los clientes israel\u00edes y no israel\u00edes en sus solicitudes de API\u201d.<\/p>\n
Lea m\u00e1s de Black Hat:<\/b><\/p>\n<\/p><\/div>\n