«Админка наружу, можно во все каналы сообщения отсылать» — в MAX взломали бота для отложенного постинга и устроили массовую рассылку.
История, которую будут рассказывать на курсах по кибербезу, произошла с популярным сервисом «Отложка», которому владельцы каналов выдавали права администратора для автопостинга. По данным автора расследования на Хабре, через него хакер разослал сообщения сразу по десяткам подключённых каналов. И да, бот якобы прошел «аудит безопасности у ведущих специалистов по ИБ в России».
Для каждого пользователя существовала доступная кнопка “разослать по всем каналам”, которой хакер воспользовался. Не хочу никого задевать, но у этого эксплойта должна быть премия Дарвина.
Безопасная соцсеть, безопасные боты 😬
Источник: CodeCamp
