I dettagli della violazione di Poste.it
10-12-09
Il sito delle poste italiane Poste.it è stato violato! L’autore o gli autori sembrano essere italiani. Poste.it ha comunicato che nessun dato degli utenti è stato “rubato” dal loro database, purtroppo però gli autori del defacciamento hanno scritto un messaggio ben diverso sul sito:
“Le poste italiane sono state oscurate?
Perchè questo atto di forza?
Per dimostrare a milioni di italiani che i loro dati sensibili non sono al sicuro!
Sembra pazzesco eppure tutta la sicurezza garantita nei servizi on-line di e-commerce è solamente apparente.
Per vostra fortuna noi siamo persone non malintenzionate, perciò i vostri dati ed i vostri accounts non sono stati toccati;
Ma cosa succederebbe se un giorno arrivasse qualcuno con intenzioni ben peggiori delle nostre?
Con questo gesto quindi, invitiamo i responsabili ad occuparsi della grave mancanza di sicurezza nei servizi on-line delle Poste s.p.a .Mr.Hipo and StutM”
Dunque versioni contrastanti tra gli autori dell’defacciamento e il comunicato stampa di Poste.it.
Si pensa che l’autore del gesto abbia rilasciato le prime notizie e gli screenshot all’indirizzo unu1234567.baywords.com. Il tool utilizzato si chiama Pangolin ed è distribuito da nosec.org.
Tramite questo tool automatico, l’hacker di poste.it ha scoperto che il database usato da Poste.it è Oracle ed è riuscito ad entrare in possesso degli account amministrativi del database, come mostrato in questa immagine.
E’ stato reso pubblico anche un video che mostra la violazione del sito Poste.it:
La Polizia Postale ha avviato le indagini per risalire ai responsabili.
Il punto da dove è stato sferrato l’attacco riguarda una pagina vulnerabile a Sql Injection presente nel sottodominio salastampa.poste.it.
Durante l’intera notte il sito è risultato irrangiungibile, solo al mattino c’è stato l’intervento di ripristino.
L’art. 615-ter del Codice penale stabilisce quanto segue:
-Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni.
-La pena è della reclusione da uno a cinque anni:
1) Se il fatto è commesso da un pubblico ufficiale o da un incaricato di un pubblico servizio, con abuso dei poteri o con violazione dei doveri inerenti alla funzione o al servizio, o da chi esercita anche abusivamente la professione di investigatore privato, o con abuso della qualità di operatore del sistema;
2) se il colpevole per commettere il fatto usa violenza sulle cose o alle persone, ovvero se è palesemente armato;
3) se dal fatto deriva la distruzione o il danneggiamento del sistema o l’interruzione totale o parziale del suo funzionamento ovvero la distruzione o il danneggiamento dei dati, delle informazioni o dei programmi in esso contenuti.-Qualora i fatti di cui ai commi primo e secondo riguardino sistemi informatici o telematici di interesse militare o relativi all’ordine pubblico o alla sicurezza pubblica o alla sanità o alla protezione civile o comunque di interesse pubblico, la pena è, rispettivamente, della reclusione da uno a cinque anni e da tre a otto anni.
-Nel caso previsto dal primo comma il delitto è punibile a querela della persona offesa; negli altri casi si procede d’ufficio”.
Hacker e persone comuni hanno dichiarato che l’attacco subito dalle poste italiane sia una fortuna, infatti alcuni commenti apparsi nel web recitano in breve che sia un vantaggio che il bug sia stato sfruttato per un defaciamento, in questo modo la vulnerabilità sarà sicuramente fixata e malintenzionati non potranno accedere ai dati dei clienti di Poste.it.
..e tutto tramite un semplice software??
Commento da Hacker o Lamer:
2 
0
si spera almeno che:
1. gli hash delle pwd che si intravedono siano stati passati con qualche SALT, così da rendere inutili i vari db di hash md5.
2. in caso contrario, occorre usare password forti, così almeno, in mancanza di SALT, non sia possibile trovarli nei vari db di hash.
Commento da Hacker o Lamer:
2 
0
Beh il grosso lo ha fatto la vulnerabilità di tipo SQL Injection. Il software ha semplicemente “velocizzato” quello che gli hacker avrebbero potuto fare a mano”
Commento da Hacker o Lamer:
1 
0