MoviePass, שירות המנויים לקולנוע שעבר מ"זה טוב מכדי להיות אמיתי" ל"מה בכלל קורה אני כל כך עייף"בסדרה של המצאות מחדש, חטפה נסיגה נוספת.

החברה השאירה אלפי פרטי כרטיסי לקוחות, ופרטי כרטיסי אשראי של עשרות אלפי לקוחות, גלויים בשרת שלא היה מוגן בסיסמה, כך לפי חברת מחקרי אבטחה.

מסד הנתונים, שכתב מ-TechCrunchנצפה "צומח בזמן אמת," הכילו יותר מ-161 מיליון רשומות וספירה, החל מפרטי רישום שנוצרו במהלך יום ריצה רגיל ועד לפרטי משתמש לא מוצפנים. פרטי כרטיס אשראי או חיוב היו זמינים גם כן, כולל מספרי כרטיסים, תאריכי תפוגה, שמות בעלי הכרטיס, ו כתובות חיוב בטקסט פשוט.

כרטיסי לקוח של MoviePass הם בעצם כרטיסי חיוב שהונפקו על ידי מאסטרקארד; הלקוחות משלמים את התשלום החודשי, והשירות מטען את הכרטיסים במחיר של כרטיס קולנוע בעת הזמנת הקרנה, כך שהמנויים יכולים לקנות אותם בקופה עם הכרטיס.

(כרטיס MoviePassיכול להיות שימוש טכניכדי לבצע כל רכישת חיוב, משתמשים חושבים, אם כי זה ייחסם את בעל החשבון די מהר.)

ייתכן שהציוץ נמחק

מערך הנתונים הלא מוגן זוהה על ידי מערכות שפותחו על ידי חברת spiderSilk שבסיסה בדובאי, ואושרו ידנית על ידי צוות האבטחה של החברה לפני שהודיעו על MoviePass, שלא הגיב.

חוקר האבטחה מוסב חוסיין אמר ל-Mashable, בעוד שהצוות שלו אינו יכול לדעת בוודאות אם גורמים אחרים ניגשו למסד הנתונים, הם מעריכים שמספר כרטיסי האשראי שעלולים להיחשף במערך מגיע לעשרות אלפים, בנוסף לכ- 50,000 כרטיסי MoviePass.

ראה גם:

"שיטות עבודה מומלצות פשוטות היו צריכות למנוע מכל זה לקרות מלכתחילה", אמר חוסיין. "אבל אנחנו רואים שהרבה חברות לא דואגות כמו שצריך, כשזה מגיע ל'כלים פנימיים' ו'רישום פנימי'. והם מצדיקים זאת בכך שהם אומרים משהו בסגנון 'אה, זה רק לשימוש פנימי וניתוח'".

Mashable יצרה קשר עם חברת האם של MoviePass, Helios + Matheson, על מנת להגיב על החשיפה, כולל הסיבות לכך שמסד הנתונים נלקח לא מקוון רק לאחר ש-TechCrunch הודיעה להם על הבעיה ולא כאשר חוסיין פנה בסוף השבוע.

"ראינו חברות שלקח להם 30 יום להכיר בממצא, וראינו גם חברות שהודו ותיקנו ממצא תוך 60 דקות", אמר חוסיין. "אבל העמדה שלנו תמיד הייתה מאוד קפדנית בנושא הזה. חברות נכנסות לפאניקה ומגיבות תוך שניות אם האפליקציות שלהן מושבתות... עליהן להתייחס לבטיחות נתוני הלקוחות שלהן באותה מידה".