澳洲邮政网上服务不安全 或导致用户信用卡被盗

管理团队

来源: 澳洲日报


澳洲邮政（Australia Post）网站上的安全漏洞有可能导致顾客隐私暴露，然而，澳洲邮政在接到民众的举报后，竟坚称用户没聪明到能够发现纰漏的程度。
据悉，只需要简单改变url网址，那些使用过澳洲邮政“Click & Send”服务的顾客就会把姓名和地址暴露无遗。这一漏洞可能触犯了澳洲的隐私法条例。
新闻有限公司此前就曾接到过澳洲邮政顾客布尔纳（Trent Bourne）的举报，这位23岁的网管来自雪梨的Homebush区，他此前已经就此问题三度警告过澳洲邮政公司了。“第一次他们跟我说‘哦，我们的顾客不像你那么聪明，永远不会发现这个小纰漏’。”而接下来的两次举报都被澳洲邮政给直接无视了。
在新闻有限公司的记者联络澳洲邮政之后，这项服务才被暂时中止，存在的漏洞也无法被利用了。
原来，在Click & Send网上服务的最后一步，等用户登录账户并选好要邮递的物品时，系统会要求他们打印一张贴在包裹上的标签。这时，网页会弹出一个包含有票据信息的窗口。
如果想要看到其他用户的信息，只需要将该窗口地址栏的最后6位用户编码改为随机数字并按下回车键，页面就会刷新并显示出其他用户的姓名和地址，还有包裹接收者的信息。任何用户只需改变用户编码的一到两位数字就能轻而易举地看到其他用户的票据。
该小票上还包含有物品和序列号，可以用来盗取用户账号内所包含的信用卡信息。
要利用这个漏洞的操作非常简单，就连新闻有限公司新闻集团的编辑也能如法炮制。
虽然该纰漏无法盗取特定顾客的信息，但却能够通过随机搜索而获得大量的用户情报。在这件事情被记者获悉之后，澳洲邮政向新闻有限公司表示，Click & Send服务已经“因为系统故障而暂时中止”。
澳洲邮政称：“使用该服务的顾客已经接到从网站发出的通知。我们的团队正在升级系统以保障所有顾客的隐私安全。我们希望该服务能尽快恢复运作。澳洲邮政希望使用Click & Send服务的顾客安心，目前为止还没有用户财产受损。想要邮寄包裹的顾客请前往当地的邮局。”
但是，澳洲邮政坚称他们从没收到过布尔纳的投诉。记者已经联系了澳洲隐私监察专员，希望能够得到对这一事件的评论。