Эксперты нашли уязвимость в приложении московских госуслуг 11 / 209

Эксперты нашли уязвимость в приложении московских госуслуг С ее помощью можно было не только получать доступ к данным, но и менять их
Специалисты компании Postuf сообщили об уязвимости в приложении столичных госуслуг, с помощью которой можно было получить доступ к аккаунту, зная только мобильный номер пользователя. К моменту публикации «дыра» уже была закрыта

В мобильном приложении «Госуслуги Москвы» для платформы Android существовала уязвимость, которая позволяла получить доступ к личному кабинету любого пользователя, указав лишь его номер мобильного телефона. Об этом РБК сообщил основатель компании Postuf Бекхан Гендаргеноевский. Это давало возможность получить всю информацию, которую пользователь указал на сайте столичных сервисов: Ф.И.О., e-mail, год рождения, номер полиса ОМС и СНИЛС, список движимого и недвижимого имущества, сведения о наличии загранпаспорта, о детях, учащихся в школах, и др. Зная номер полиса ОМС и год рождения, можно было через систему ЕМИАС получить доступ к медицинской информации: каких врачей посещает человек, какие рецепты ему выписываются, история прикрепления к поликлиникам и т.д.

Уязвимость давала возможность не просто просматривать, но и менять данные, уточнил эксперт. В качестве подтверждения компания с согласия корреспондента РБК предложила внести в его профиль через «Госуслуги Москвы» информацию о несуществующем автомобиле. Эти данные почти сразу отобразились на его странице. Причем для самого пользователя такие изменения могли остаться незаметными, потому что в системе не предусмотрены уведомления о внесении правок в аккаунте.

Гендаргеноевский затруднился сказать, как давно существовала эта уязвимость. По его мнению, кардинально навредить кому-либо, обладая этой информацией, нельзя. Однако можно «потрепать человеку нервы», добавив в его профиль информацию о супругах или детях, которых у него нет, о транспортном средстве или недвижимости, которыми он не владеет, а также можно было вносить некорректные показания счетчиков по ЖКХ, переносить или отменять записи к врачам и др., отметил основатель Postuf.

Подробнее на РБК:
внешняя ссылка

Приложение госуслуги это просто одна большая уязвимость. Не знаю кто писал это ПО, но это ##^&£€

21.01.21, 14:16
Loccci писал(а):
Приложение госуслуги это просто одна большая уязвимость. Не знаю кто писал это ПО, но это ##^&£€

Почему такие выводы?

Интерфейс, не самый дружественный. "Нажми здесь, потом здесь, и еще раз 5".
Электронная карта. При ее открытии появляется сообщение что то вроде "У вас есть есть незакрытая сессия!" и появляется опять главное меню. Да, возможно, я открывала карту неделю или полчаса назад. В чем проблема написать скрипт, принудительно закрывающий мою сессию, при попытке открыть новую? Насколько я знаю, что то похожее и в школьных дневниках.
Всеобщая заторможенность сервисов, вероятно на фоне вакцинации. Но тк вакцинация с нами надолго, я полагаю, заторможенность тоже.

GreetS

21.01.21, 17:12
Loccci писал(а):
Электронная карта. При ее открытии появляется сообщение что то вроде "У вас есть есть незакрытая сессия!" и появляется опять главное меню.

У меня никогда такого не было. Правда в статье сказано, что проблемы только на Андроиде. На Windows и на IOS очевидно этих косяков не было.

Заторможенность всегда там. Помню адовые муки при смене загранпаспорта года 2 или 3 назад. Тоже думала, что, может, в период такой попала. Сессии какие-то, все донажимала, так нет же, техработы начались и т.п.

21.01.21, 17:12
Loccci писал(а):
Электронная карта.

Я так показания счетчиков передаю;)

21.01.21, 17:16
GreetS писал(а):
проблемы только на Андроиде

Да, андроид

21.01.21, 17:34
Тундра_nbr писал(а):
Я так показания счетчиков передаю;)

У меня так же на айфоне.

Счета за сад за январь на госуслугах то появляются, то пропадают, я не успеваю оплатить. Это даже увлекательнее, чем "Поймай запись на вакцинацию".