MoviePass nechal data karet zákazníků v nezaheslované databázi
22.8.2019, Milan Šurkala, aktualita
Služba MoviePass nabízela svým zákazníkům jakousi debetní kartu pro placení za návštěvu kin. Jejich data včetně čísel kreditek a dat expirace ale nechal na internetu ve volně přístupné databázi bez hesla.
Některé služby mají tak špatné zabezpečení, až je to k nevíře. Obzvlášť pokud je to služba, která se týká peněz. Velký průšvih má nyní společnost nabízející tzv. MoviePass. Jde o jakousi debetní platební kartu na systému MasterCard, která zákazníkům slouží k platbě za kina pomocí systému předplatného (za $19,95 měsíčně můžete jít každý den do kina). Člověk by čekal, že společnost vydávající platební karty (byť jen pro placení za zábavní účely formou předplatného), bude dbát na bezpečnost. Ale není tomu tak. Mossab Hussein ze společnosti SpiderSilk se sídlem v Dubaji prohledával internet a při hledání nezabezpečených serverů našel i databázi zákazníků služby MoviePass. Ta čítala 161 milionů různých záznamů, mezi kterými byly také údaje platebních karet služby i klasických kreditních karet.
Někdy zde byly jen poslední čtyři číslice, někdy celé 16místné číslo včetně data expirace karty a jména i poštovní adresy jejího majitele. Nacházely se zde i údaje o chybných přihlášeních. Přístup k databázi nebyl zaheslován a sama databáze ani nebyla šifrována. Hussein tedy kontaktoval MoviePass, ale nikdo na jeho zprávu neodpověděl. Teprve když se do celé záležitosti vložil server TechCrunch, který společnost kontaktoval znovu, lidé z MoviePassu se ozvali a volně přístupnou databázi odstranili.
Ukázalo se, že na databázi je před několika měsíci upozornil i Nitish Shah, ale ani jemu nikdo neodpověděl. Nyní je jen otázkou, zda si této databáze všimli i hackeři, kteří mohli získané údaje zneužít k vlastnímu prospěchu a peněžnímu zisku. Nejde navíc o první skandál společnosti. Ta třeba v minulosti změnila hesla zákazníkům, kteří pomocí této služby předplatného filmů chodili příliš často do kina.
