Ежемесячно каждому клиенту Тинькофф банка на электронную почту приходит выписка – это симпатичное письмо с приложенным к нему pdf-файлом с информацией о движении денег по счетам.
Пример вложенной выписки:
В конце июля верстка письма немного изменилась, теперь файл с выпиской банк решил не прикладывать к письму, а ограничиться лишь ссылкой.
Все бы хорошо, но ссылка ведет прямо на сайт банка – https://www.tinkoff.ru на страницу по адресу:
Некоторые моменты:
- В ссылке не передается никаких параметров кроме 64-значного id тикета.
- По ссылке можно зайти с любого ip адреса.
- Для доступа к странице по ссылке не нужно авторизовываться в личном кабинете на сайте банка.
При загрузке волшебной страницы автоматический начинается скачивание выписки конкретного клиента.
Сотрудники банка так прокомментировали ситуацию:
UPD: Если заглянуть в код страницы с выпиской, то можно обнаружить встроенные виджеты:
— Twitter
— Facebook
— Youtube
— Google+
— Instagram
Если для получения выписки достаточно знать лишь адрес страницы, значит технический персонал данных сервисов уже имеет доступ к конфиденциальным данным клиентов банка.
UPD 2: проблема с robots.txt
Хабравчане в комментариях заметили, что ссылка в e-mail ведет на домен click.email.tinkoff.ru, где robots.txt пустой.
Сама выписка (pdf документ) скачивается с http://ift.tt/1hap2sK — который в robots.txt не закрыт.
Возникает вопрос:
Только зарегистрированные пользователи могут участвовать в опросе. Войдите, пожалуйста.
This entry passed through the Full-Text RSS service - if this is your content and you're reading it on someone else's site, please read the FAQ at http://ift.tt/jcXqJW.
Комментариев нет:
Отправить комментарий