Booking.com עלולה לתת לזרים גישה לטיול שלכם

Booking.com ככל הנראה מקשרת הזמנות לחשבונות ללא כל אימות. משתמש מגלה שהקלדת כתובת דוא"ל שגויה עלולה לקשר את החופשה שלך לחשבון אחר החברה לא הסירה הזמנה כוזבת מחשבונו של משתמש אחד

מטיילים המשתמשים ב-Booking.com לתשלום עבור לינה ותחבורה הוזהרו מפני שגיאת הקלדה פשוטה שעלולה לגרום להם לשתף את פרטי הטיול הפרטיים שלהם עם זרים, לתת להם גישה למידע רגיש ואף לאפשר להם לשלוט בהזמנות.

הבעיה נחשפה כאשר משתמש Booking.com, בשם אלפי, קיבל אימייל בלתי צפוי המאשר טיול שלא הזמין.

למרות שנקט משנה זהירות בכך שלא פעל לפי קישורים במייל, בחשד שמדובר בהונאת פישינג, ההזמנה המסתורית נוספה לחשבונו, מה שאישר את החשד שהמייל אכן הגיע מ-Booking.com.

שימו לבאג של Booking.com הזה

לאחר שלא קיבל הסבר מצוות התמיכה של החברה, אלפי שיתף את הסיפור עם Ars Technica, אשר פנתה ל-Booking.com בבקשה לתשובות.

מאוחר יותר התגלה שהבעיה התרחשה כאשר משתמש אחר הזין את כתובת הדוא"ל של אלפי, ככל הנראה בטעות, מה שגרם להזמנה להתחבר לחשבונו. לכן, Booking.com הצהירה כי התקרית אינה "תקלה במערכת" וגם לא "פרצת אבטחה", אולם כעת יש לנו שאלות לגבי חוסנה של המערכת של Booking.com.

Booking.com מסרה (דרך Ars Technica ): "בעקבות חקירה שערכנו, גילינו שהבעיה התרחשה עקב שגיאת הזנת קוד של הלקוח במהלך תהליך ההזמנה, שבה הוא הזין בטעות כתובת דוא"ל שגויה. כתובת דוא"ל זו, לעומת זאת, הייתה שייכת ללקוח אחר של Booking.com, מה שגרם לקישור ההזמנה לחשבונו."

החוויה של אלפי מדגישה פרצה מדאיגה שבה המערכת של Booking.com מוסיפה אוטומטית הזמנות לחשבונות דרך כתובת הדוא"ל שסופקה, ללא כל אימות נוסף, מה שמקל על שיתוף בטעות של מידע פרטי עם אחרים ולאובדן ההזמנה שלכם.

למרות שהסיכוי להקליד כתובת דוא"ל שונה לחלוטין הוא די קלוש, אות אחת שלא במקומה עלולה להפנות את ההזמנה לכתובת דוא"ל קרובה אחרת.

יתר על כן, Booking.com סירבה להסיר את הטיול מחשבונו של אלפי, בטענה כי מדובר בהפרה של פרטיות המשתמש שהזמין את הטיול בפועל.

אולי תאהבו גם

• צור חשבונות מאובטחים עם מחוללי הסיסמאות הטובים ביותר ומנהלי הסיסמאות הטובים ביותר
• חשבון נטפליקס שלך לא מושעה – איך להימנע מהונאת ה-SMS האחרונה
• שקלו להשתמש באפליקציות האימות הטובות ביותר