Roma – Nel noto sito PagineBianche.it di Seat è emersa una problematica di sicurezza che potrebbe andare a vantaggio degli esperti in truffe on-line e phishing.
Segnalata ieri in questo thread del Forum delle Segnalazioni di Punto Informatico, la vulnerabilità è di tipo cross-site scripting e potrebbe essere sfruttata da un aggressore per dirottare gli utenti verso siti “trappola”.
L’esperto di sicurezza Gerardo Di Giacomo, dello staff di Zone-h.it , ha spiegato a PI che un malintenzionato potrebbe indurre un utente a cliccare su di un link come questo .
“All’interno dell’URL c’è una stringa che dice al browser di recarsi sul sito www.punto-informatico.it. Ovviamente un truffatore potrebbe mettere al posto di www.punto-informatico.it l’indirizzo di un sito truffaldino che clona la veste grafica di PagineBianche.it: in questo modo l’utente comune difficilmente si accorgerebbe di essere finito nel posto sbagliato”, ha affermato Di Giacomo. “Il sito malevolo potrebbe ad esempio promuovere un servizio a pagamento destinato agli abbonati del telefono e contenere un form che richiede i dati personali dell’utente, incluso il numero della carta di credito”.
L’esperto ha tuttavia sottolineato come questa debolezza non possa essere utilizzata per compromettere in modo diretto la sicurezza o la privacy degli utenti.
“Trattandosi di un sito che non possiede un form di registrazione/login, – ha spiegato Di Giacomo – è impensabile sfruttare tale vulnerabilità alla maniera “classica”, cioè cercando di rubare il cookie di autenticazione degli utenti e accedere ad un eventuale pannello contenente i dati personali”.
Sui forum di PI è emerso che il problema interessa anche il noto portale Leonardo.it , ed in particolare il form d’inserimento del motore di ricerca interno del sito: un esempio di come potrebbe essere sfruttata la vulnerabilità si trova qui .
PI ha segnalato il problema ai rispettivi siti ed è in attesa di una risposta.
Ti potrebbe interessare
20 lug 2005