T-Mobile网站的又曝漏洞:任何人只需一个电话号码就可以访问客户信息

T-Mobile客户:您的数据又一次遭到了威胁。这一次的罪魁祸首似乎是一个名为“copypasta”的bug,一位安全研究人员最近在T-Mobile的网站上公开可见的一个子域中发现了一个bug,这个bug让任何人都只用一个电话号码就可以访问客户数据。感觉T-Mobile想要赢一个最佳bug奖。

这一次,在promotool.t-mobile.com上的一个被隐藏得不够明显的API中,这显然是一个针对员工的“Customer Care Portal”,它允许任何人通过将客户的电话号码附加到这个URL的末端来访问T-Mobile客户数据- 不需要密码。

据ZDNet称,这样做会泄露客户的全名,账单账号,账户状态信息(例如过期账单或账户暂停)以及账户PIN(用于启动客户服务交互)。在某些情况下,税务识别号码会被暴露。

安全研究员Ryan Stevenson发现了这个bug,并在4月初向T-Mobile报告,为此他收到了1000美元的bug奖励。在Stevenson提醒他们的一天之后,这家运营商终止了该API。

“我们已经快速了修复了该错误,而且我们没有证据显示有任何客户信息都被访问过,”T-Mobile发言人告诉ZDNet。

这应该听起来很熟悉,因为去年秋天它曾出现过类似的bug。在这种情况下,尽管T-Mobile宣称它在24小时内进行了纠正,但黑客似乎还是有几周的时间可以利用这个漏洞。去年年底,该运营商解决了暴露用户登录记录的另一个网站bug。

如果您是T-Mobile的客户,并认为您的个人信息被盗,并被用于了设置新帐户或对当前帐户进行更改,您可以与运营商合作纠正这种情况。

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏云计算D1net

混合云环境中的数据保护

1605
来自专栏腾讯云数据库(TencentDB)

TDSQL架构及运营介绍

作者介绍:李瑞,高级DBA,拥有丰富的数据库运维运营经验,现负责腾讯云分布式数据库运营相关工作,对数据库的高一致性、高可靠、分布式架构等有深入理解,擅长MySQ...

6219
来自专栏云计算D1net

微软云计算服务Azure全球大范围宕机

北京时间8月19日消息,据彭博社报道,微软云计算服务Azure的主要组件周一发生全球大范围宕机。 微软表示,Azure服务目前处于中断状态,原因是位于全球多个数...

37210
来自专栏FreeBuf

插入U盘自动攻击:BadUSB原理与实现(含视频)

漏洞背景 “BadUSB”是今年计算机安全领域的热门话题之一,该漏洞由Karsten Nohl和Jakob Lell共同发现,并在今年的BlackHat安全大会...

3278
来自专栏FreeBuf

75%安卓设备受威胁,都是高通API代码惹的祸 ?

近日,美国网络安全公司FireEye披露了一个严重的信息泄露漏洞,该漏洞是由移动芯片巨头高通公司引入到 Android系统中的。 ? 关于高通 高通 (Qual...

2237
来自专栏Debian社区

2017年的Linux内核防护依然脆弱

“Linux 内核 “社区” 对待安全的优先级并不高,虽然经历了 2000 年代的多次大规模漏洞利用事件但并没有让 Linus Torvalds 本人改变 “A...

711
来自专栏安恒信息

中国版GDPR《个人信息安全规范》解读:国内企业如何保障信息安全?

大数据时代带来了无法量化的变革,但与此同时,也带来了数据和信息安全的隐患。此前,小安曾解读过GDPR,今天,小安再次带领各位小伙伴,探究中国版的“GDPR”——...

1542
来自专栏FreeBuf

NSA泄露文件深度分析(二):运营商

? * 本文原创作者:tom_vodu,本文属FreeBuf原创奖励计划,未经许可禁止转载 说在前面 只是简单看了工具包中的EXP,并在网上关注了一下国外对...

28810
来自专栏金融科技

为什么软件测试很重要?

  作为人类,我们很可能在任何过程中犯错误。虽然有些错误对我们的生活影响不大,但其他错误严重到足以破坏整个系统或软件。在这些严峻的情况下,拥有一个能够提前发现错...

1032
来自专栏黑白安全

云数据存储:漏洞及避免漏洞方法

大约13年前,我们看到了数据存储市场的又一次革命,出现了针对个人和企业的主要集中式云服务。如今,任何用户都可以轻松地访问任何设备的数据,而企业现在可以节省维护自...

1523

扫码关注云+社区

领取腾讯云代金券