Instagram・Zoom・LinkedInなどでアカウントの「事前ハイジャック」が可能な脆弱性が発見される

マイクロソフト・セキュリティ・レスポンス・センター(MSRC)が支援したセキュリティ調査により、アクセス数が多いさまざまなサービスに、ユーザーがアカウントを作成する前にアカウントをハッキングしておく「アカウント事前乗っ取り攻撃(account pre-hijacking attacks)」に対する脆弱(ぜいじゃく)性があることが判明しました。 Pre-hijacked accounts: An Empirical Study of Security Failures in User Account Creation on the Web (PDFファイル)https://arxiv.org/pdf/2205.10174.pdf Account pre-hijacking attacks possible on many online services - Help Net Security

[puruhime]

“作った覚えのないアカウントに関するメールが届くのはハッキングの前兆の1つなので、無視せずにそのサービスに通報したほうがいいと話しました。 ”

[TakayukiN627]

研究チームはさらに、サービスを利用する一般のユーザーに対しては、多要素認証を有効化するように推奨しました。

[efcl]

パスワードリセットでセッションを切ってない時の攻撃。

[ys0000]

これは怖いな。某楽天の所為でメールアドレスはSPAMで死んでるので、自分が登録していないサイトからの連絡は放置して気が付かない可能性が高い。

[maemuki]

やばい きじゃく性が見つかってしまったのか…

[oqzl]

やばい脆弱性だらけだな…

[ciel18m]

わぁ、こわ。作る前から……。

[verda]

“まず攻撃者が被害者のメールアドレスを使う「クラシック」でアカウントを作成します”メールアドレスの確認ステップないサービスってことなのかな

[ya--mada]

なるほど、これでも認めてもらえるのか。最近さぁ、DNSワイルドカードレコードで任意のサブドメインを自動的に読み込んじゃうサービスごいくつかあって、実験してみたいのだけど、「で？」って言われそうだったので

[diveintounlimit]

“多要素認証を有効化”せやなぁ