Kritieke fout in de website van USPS Risicogegevens van miljoenen gebruikers

Encryptie illustratie

De United States Postal Service (USPS) heeft zijn kapotte API gerepareerd die de accountgegevens van 60 miljoen gebruikers die zich hadden aangemeld voor de service 'Informed Delivery' had blootgelegd.

Informed Delivery is een nieuwe service van USPS waarmee mensen gescande afbeeldingen van al hun inkomende e-mails kunnen zien. De afbeeldingen worden verzonden voordat de post daadwerkelijk door het bedrijf wordt bezorgd. Mensen kunnen hun e-mails volgen en van tevoren zien of er vandaag belangrijke e-mail aankomt of niet.

Door de beveiligingsfout had iedereen een account bij U sps om de details van de andere geregistreerde gebruikers van de service te bekijken en zelfs om de details van die gebruikers te wijzigen.

De fout werd voor het eerst blootgelegd door een onderzoeker vorig jaar toen hij gegevens van de gebruikers kon extraheren door verzoeken naar de server te sturen. De onderzoeker probeerde meerdere keren contact op te nemen met USPS om hen te vertellen over het beveiligingslek, maar tevergeefs. De onderzoeker toonde aan dat wanneer u jokertekens naar de servers stuurde, het de meeste accepteerde, zodat anderen de details van de accounthouders konden zien.

Beveiligingsspecialist Brian Krebs zei dat elke ingelogde gebruiker van USPS in staat was om accountgegevens van andere gebruikers van USPS te zoeken. Accountgegevens zoals accountnummer, gebruikersnaam, e-mailadres, gebruikers-ID, telefoonnummer, mailingcampagnegegevens, adres en andere informatie waren gemakkelijk toegankelijk. Er konden echter geen wijzigingen in de gegevens worden aangebracht in sommige velden, omdat er een validatiestap aan die velden was gekoppeld om de gegevens te wijzigen.

Volgens Krebs was er een enorme beveiligingsfout van USPS, omdat er geen echte hacking-expertise nodig was om toegang te krijgen tot de gegevens. Iedereen die de basiskennis heeft om de elementen met een browser te bekijken en aan te passen, heeft toegang tot de accountgegevens. USPS verklaarde dat ze tot nu toe geen bewijs hebben ontvangen dat suggereert dat er misbruik is gemaakt van accountgegevens van zijn gebruikers.