Как стать автором
Обновить

Дыра ВКонтакте, утечка персональных данных пользователей

Информационная безопасность *
По сети стремительно расползается новость о найденной дыре в системе восстановления пароля социальной сети ВКонтакте, введя номер мобильного телефона можно получить имя и аватар человека, зарегистрировшегося под этим номером в социальной сети.

Воспользоваться этой «телефонной книгой» элементарно:

1. Заходим на мобильную версию сайта m.vk.com
2. Жмем «Забыли пароль?»
3. Вводим номер телефона
4. Получаем имя и аватар

Иногда надо ввести капчу.

Дело за малым — пока дыра активна, отпарсить самую большую базу телефонных номеров России и СНГ.

UPDATE По состоянию на 16.01.2014 проблема частично решена — указанный выше метод не выдает имя пользователя, только аватар.

Который в ряде случаев может вывести на страницу пользователя, если воспользоваться поиском по картинке. Если же аватар очень распространен — тоже не беда, в большинстве случаев путь к картинке содержит 3 последние цифры ID пользователя(Пример: cs123456.vk.me/v1234567890/… где 890 — последние 3 цифры ID пользователя). На данный момент метод совершенно бесполезен для поиска пользователей без аватара.

В планах рассмотреть механизм работы мобильного API.
Теги:
Хабы:
Всего голосов 232: ↑178 и ↓54 +124
Просмотры 276K
Комментарии Комментарии 210