網絡安全廠商Fiserv的電子郵件域名居然沒有注冊
責編：gltian ｜2021-03-25 13:42:45
Fiserv是一家為金融機構提供數十億美元資產的網絡安全技術提供商，但卻忘記了購買其系統電子郵件通信中的默認域名（@xxx.com）。
這個錯誤可能使向其客戶發送的用戶私密信息暴露給任何愿意花幾美元購買該域名的人，但是，在此之前，安全研究員亞伯拉罕·維格（Abraham Vegh）去年11月發現了這個可怕的漏洞。
Vegh在安全報告中解釋說，他當時從銀行收到了一封電子郵件，其中包括域名defaultinstitution.com。他檢索后發現該域名居然尚未注冊，他隨即將其購買并將其鏈接到一個電子郵件地址，看看有什么“收獲”。
果不其然，Vegh收到了來自Fiserv用戶的郵件，其中包括匯款服務Cashedge.com，該網站試圖告知其客戶，他們已將Zelle作為其主要服務。Vegh解釋說，這些電子郵件包括ID、轉賬金額和日期、發件人的后四個賬戶數字和收件人的電子郵件地址。
Vegh透露：“未注冊的域名似乎是默認提供的，Fiserv的銀行客戶的IT部門要么假設他們不需要更改它，要么不知道他們可以/應該這樣做。”
Fiserv另外一個客戶Netspend.com（預付費借記卡提供商）也出現在Vegh的“默認位置”收件箱中，還有TCF國家銀行、聯合銀行和其他留有個人用戶信息的收件箱中。
此后不久，即2月26日，Vegh關閉了“defaultinstitution”電子郵件。
據Threatpost報道，Fiserv在聲明中承認了這一事件。
聲明說：“在得知情況后，我們立即進行了分析，以查找和替換占位符域名的實例。”“我們還通知了有關客戶?！?/p>
Fiserv表示，已經購買了默認域名，獲取了電子郵件，并正在努力通知受影響的用戶。
聲明補充說：“我們將不再使用非Fiserv擁有的域的占位符域名?！?/p>
New Net Technologies全球副總裁Dirk Schrader指出，暴露的數據可能已用于社交工程企業電子郵件泄露類型的騙局中。
Schrader說：“Fiserv嚴重違反了金融機構的基本網絡安全要求?！笆褂梦醋缘挠蛎麨榫W絡釣魚和其他許多攻擊媒介打開了大門。”
Schrader補充說，金融科技公司需要完全控制和保護通信，并補充說：“這對于Fiserv客戶意味著巨大的災難和財務損失風險?！?/p>