Recientemente, descubrí una falla de seguridad en un sitio web comercial. Este sitio web tiene un "Área de Socios" protegido por contraseña, y al igual que muchos sitios web, proporciona un formulario para restablecer la contraseña del usuario.
Cuando un usuario solicita un restablecimiento de la contraseña para su apodo, se envía una nueva contraseña a su dirección de correo electrónico y esa contraseña entra en vigencia de inmediato. El problema es (si esto no era ya un problema) que la nueva contraseña es fija, para todos los usuarios. Por lo tanto, un atacante puede acceder fácilmente a cualquier cuenta.
Ahora, las únicas operaciones que un usuario puede hacer dentro de su Área de Socios son:
- Ver / cambiar la dirección de correo electrónico
- Cambiar contraseña
- Descarga algunos manuales y utilidades (definitivamente no es material clasificado)
- Rellene un formulario de reparación (entonces el proceso continuará por correo electrónico)
- Descargar logotipos e imágenes con fines de marketing
Las únicas cosas que veo para que un atacante malicioso las explote son:
- Impedir el acceso futuro a un usuario legítimo (que probablemente podrá volver a obtener inmediatamente después de una llamada telefónica)
- Descubra información sobre quiénes son los clientes de la empresa (adivinar apodos aleatorios y consultar su dirección de correo electrónico). De todos modos, no es algo que alguien mantendrá en secreto.
Incluso si siempre estoy muy perturbado por cosas como esta, en este caso debo admitir que puede que no sea un gran problema. ¿Hay defectos como este en los compromisos aceptables, en un contexto donde no se puede causar mucho daño?
Ya que creo que alguien entendió mal un detalle: ese sitio web pertenece a una empresa externa. No tengo ningún rol en el desarrollo de ese sitio web, y no tengo control sobre ninguna decisión al respecto.