Segnala grave bug nel servizio di e-ticket e viene arrestato

25 Luglio 2017 177

L'Autorità dei Trasporti di Budapest (BKK) ha recentemente inaugurato un sistema di pagamenti elettronici dei biglietti in collaborazione con T-System, la società di servizi IT e di consulenza che fa capo a Deutsche Telekom. Il sistema è stato realizzato in circa tre mesi, presumibilmente in vista dei campionati mondiali di nuoto che si stanno tenendo in questi giorni (dal 14 al 30 luglio) nella capitale ungherese. Sia per le tempistiche abbastanza ridotte, sia per la complessità del progetto, è lecito mettere in conto bug, ma la vicenda, nel caso specifico ha assunto toni che sfiorano il grottesco.

Definire scarse le misure di sicurezza adottate per evitare intrusioni nel sistema è riduttivo, tenuto conto che è bastato poco per individuare il pannello di amministrazione e accedervi mediante l'inserimento della - molto originale - password adminadmin. Ma siamo solo all'inizio: il 14 luglio scorso, un diciottenne non identificato, ha inviato una mail a BKK, segnalando una falla nel sicurezza del sistema: chiunque avrebbe potuto modificare via browser il prezzo del biglietto.

Semplicemente premendo il tasto F12 - che attiva i DevTool dedicati agli sviluppatori - un ''hacker" (virgolette d'obbligo, visto che non erano richieste molte altre conoscenze al di là di quelle necessarie per usare il browser), poteva acquistare il biglietto a qualsiasi prezzo, modificandolo tramite il codice sorgente del sito di BKK. Circostanza aggravata dal fatto che l'operazione andava a buon fine, stante l'assenza di qualsiasi controllo lato server.


Il ragazzo ha descrive così l'accaduto:

Ho scoperto venerdì scorso che potevo prendere un biglietto mensile per 50 fiorini (il costo normale è di 9500 fiorini, circa 30 euro, ndr.) per il nuovo sistema di e-ticket via internet ed li ho informati circa due minuti più tardi. Non ho utilizzato il biglietto, non vivo nemmeno vicino a Budapest, non ho mai viaggiato su una linea BKK. Il mio obiettivo è stato segnalare l'errore per risolverlo e non utilizzarlo.

Comportamento esemplare, si direbbe, e invece la ricompensa è stata l'arresto, preceduto dalle dichiarazioni con le quali sia BKK, sia T-System hanno provato a minimizzare l'accaduto, che, nel frattempo, non era passato inosservato ai media locali. Il 21 luglio scorso, il giovane è stato arrestato, schedato e rilasciato poche ore dopo. Un passaggio che ha però dato modo alle società coinvolte di dare peso all'ipotesi dell'attacco informatico, tramite il quale è stato possibile violare il sistema e modificare il prezzo del biglietto.

Nel corso del weekend si è poi passati all'immancabile scaricabarile: il Presidente di BKK ha puntato l'indice verso T-Systems, che risponde con un articolato intervento il cui succo è: non potevamo fare diversamente se non fornire le informazioni sulle parti coinvolte, tendiamo una mano all'hacker buono i cui intenti non sono stati compresi, il caso ha dimostrato che in Ungheria non c'è ancora una piena consapevolezza del ruolo dei cosiddetti white hat (gli hacker buoni). La magra consolazione per il ragazzo è questa:

In qualità di capo di T-System Ungheria, e supponendo che la condotta etica del ragazzo è accertata, vorrei offrigli la possibilità di cooperare in futuro, se è aperto a questa collaborazione

Beh, come si dice, meglio di un pugno in un occhio. Al limite, averne uno chiuso a volte può anche servire: permette di non vedere la leggerezza (incapacità) con cui spesso le amministrazioni pubbliche, senza distinzione di nazione, provano ad ammodernare i servizi, sprovvisti di adeguate competenze o affidandosi a società di consulenza che dimostrano di ignorare i principi basilari per rendere sicuro un sistema informatico.


177

Commenti

Regolamento Commentando dichiaro di aver letto il regolamento e di essere a conoscenza delle informazioni e norme che regolano le discussioni sul sito. Clicca per info.
Caricamento in corso. Per commentare attendere...
Vincent Zeitgeist

a Torino puoi guidare anche bendato. Bisogna solo saper guidare. A Palermo è una giungla. 2 anni fa sono stato da amici e mi sono venuti a prendere in centro a Palermo (facevo il turista). Allucinante. Avevo paura. Nulla a che vedere con Torino. Credimi. Non sono luoghi comuni. Parlo per esperienze vissute. Vai a farti un giro nel lungo mare di Rimini, Riccione o Jesolo e poi vai in quello di Trapani, nonostante hanno un mare stupendo. Una distesa di plastica e sacchi neri di immondizia, hotel abbandonati e alcuni quartieri che sembrano bombardati...senza contare i bidoni dell'immondizia che vanno a fuoco. Poi dopo che sei stato lì, fatti un giro a Cuneo, a Verbania o a Bolzano, poi vediamo se è uguale...tu mi dirai che è colpa della criminalità organizzata, dell'amministrazione locale, ecc, ma la colpa è soprattutto dei cittadini che hanno un senso civico pari a zero. Buzzurri e maleducati. Basta vedere l'affluenza alle urne quando si va a votare...al sud molto meno che al nord...meglio grattarsi gli zebedei in spiaggia, però sono molto bravi a lamentarsi e chiedere soldi. E cmq tornado alla metro, i furbetti che scavalcavano per viaggiare gratis erano a Roma e non a Torino. Sono dati di fatto e non luoghi comuni. Anche una ragazza che conosco, romana doc e che vive a Torino dal 2010, mi diceva che a Roma sui pullman dopo una certa ora non ci puoi andare e che sulla qualità della vita e dei servizi(a meno che non vivi ai Parioli o sui colli Romani) non c'è paragone. Io sono di origini meridionali e ne vado fiero, ma davanti all'evidenza bisogna chinare la testa e ammettere che la differenza tra nord e sud è abissale. Su tutti i livelli purtroppo.

Paul

In classico stile bagarino fuori allo stadio :D

d_

Questa è un'esagerazione. Un italiano avrebbe al più tenuto per sè un paio di abbonamenti. Il resto lo avrebbe rivenduto.

777_di_televideo

ripeto: parlare di luoghi comui fa sempre bene. Io conosco questo episodio peché abito a Torino, non tengo il conto di quello che succede a Roma o Napoli.
(E le due città dove ho penato di più per guidare sono state Palermo e Torino. )

Vincent Zeitgeist

giustissimo...per non dire altro

Vincent Zeitgeist

hai detto bene...a Torino e non Roma o Napoli...vi è una gran differenza..vai nella metropolitana di Torino...se non hai il biglietto non passi e ci sono controlli ad ogni fermata, senza contare la pulizia ai massimi livelli...e sono passati 12 anni. Invece nella metro di Roma è risaputo che è pieno di furboni...non amo i luoghi comuni, ma purtroppo è così...altro esempio...prendi 2 città di 60 mila abitanti...ecco...fatti una passeggiata a Cuneo e poi a Trapani e vedrai la differenza e non parlo del clima o della vegetazione o colori e forme degli edifici. E non auguro al peggior neppure al peggior nemico di guidare in quella città. Autentici selvaggi.

Marco Fantin

È se venivano arrestati, il giudice li avrebbe lasciati andare con la scusa del "poverini, so ragazzi"

Manganello e olio di ricino! Altro che poverini!

stiga holmen

*avessi fatti

Paul

Questo ragazzo, presunto hacker, onesto, disinteressato a truffare, in Italia sarebbe disoccupato. Un italiano, invece, avesse avuto la possibilità, avrebbe comprato abbonamento ad un euro per lui, la sua famiglia, in cane, il gatto e tutto il condominio e, perchè no, anche al ragazzo del bar.

Ma neanche validazione, ma proprio invio dell'importo tramite formulario!
Ci sono errori che possono accadere (chiamiamoli pure bugs)... Questo non é un bug, é proprio un errore di progettazione! Penso che uno studente lo impara il primo anno quanto sia pericoloso qualcosa del genere.

A questo punto sarebbe bello sapere quali altri portali appartengono a T-System se ci lavorano dilettanti senza un minimo di conoscenza informatica.

takaya todoroki

appunto

Sagitt

Esatto

xpy

Ho installato solo crysis 3 e girava perfettamente a dettagli alti

mmorselli

Immagina questa situazione, vai al supermercato, fotografi l'etichetta di una cassa di mele, a casa la stampi su carta adesiva, torni al supermercato, la incolli su una cassa di kiwi, poi vai alla cassa automatica, fai passare la tua cassa di kiwi nel lettore, paghi ed esci. Per la sicurezza, se mai ti ha visto, è tutto ok, non riesce a capire il giochino che stai facendo. Secondo te è un reato oppure no?

Il cambio di prezzo del biglietto modificando il codice del form (scritto da un cane, senza offesa per il cane) è la stessa identica situazione.

k87

ovvio che si siano alterati; con la tua segnalazione dovevano andare a lavorare!

umbvas

Diventava un parlamentare gestiva le banche tosse

Dartagnan92

concordo, dovrebbero usare un sistema fatto ad hoc, un firmware basico solo per quello e basta

777_di_televideo

veramente a torino anni fa due ragazzi di 17 e 18 anni scoprirono una cosa simile e la segnalarono. Ma meglio parlare per luoghi comuni, fa sempre bene (Y)

xTehJudaS

Hai provato a vedere se ci gira DooM?

L0RE15

...e non gli hanno dato nemmeno un premio! Con esempi del gene3re si meritano che nessuno più segnali (gratis) i problemi. Mi viene in mente quando ho segnalato delle cassette Telecom per strada aperte, vandalizzate e con cavi penzolanti: tutti gli operatori sono stati scortesi, presuntuosi, arroganti, infastiditi dalla mia segnalazione per poi dirottarmi sempre verso altri numeri o richieste di invio di fax...

Mai più segnalate cassette aperte...anzi, spero ogni volta, quando le vedo aperte, che qualche balordo abbia fatto più danni possibili!

L0RE15

scusa ma chi è quello stolto che ruba a qualcuno e due minuti dopo avvisa del fatto proprio il derubato spiegandone i dettagli?!

La verità è che siamo in un mondo completamente allo sbando e, oggi, addirittura stiamo perdendo di vista chi siano i buoni e chi siano i cattivi...tutto a causa di ignoranza, superficialità e perché ai posti di comando ci sono persone (dirigenti, politici, ecc) che non sanno minimamente quello che sono lì a fare, s'improvvisano e la maggior parte arriva sulle sedie di potere per conoscenze o oliature a destra e a sinistra...
Tutto questo è altamente preoccupante!

lkjh

Il 90% degli atm nel mondo monta XP...

xpy

https://uploads.disquscdn.c...

xpy

Quello mi è capitato di trovarlo a me nelle macchinette automatiche del ctm di Cagliari, se la trovo metto la foto

Vincent Zeitgeist

e non sarebbe stato nemmeno arrestato

takaya todoroki

Al limite la società potrà fare causa anche a chi ha sviluppato il sito, ma da parte di chi compra c'è un chiaro dolo, non si scappa.

Sagitt

Non è la prima volta che lo vedo capitare

La cosa che mi fa impallidire è che usano Windows per fare degli atm...

il Gorilla con gli Occhiali

Santos? Cosa centra ora Santos?

Wu Zi Mu

Sisi bravo Santos

il Gorilla con gli Occhiali

Amico entraci anche tu e vediamo cosa accade allora visto che non ci credi. =)

BRAVISSIMO!!!!!
Trenitalia sono dei ladri. Ho acquistato per sbaglio il biglietto per tornare a casa nella tratta inversa (casa-luogo) - non ho potuto invertire la rotta ma spostare la data. Per giunta l'appuntamento in quella data era saltato e dovevo ricambiarla e non c'è stato verso. soldi buttati. Inoltre hanno un call center che se lo chiamo spendo più del biglietto, mentre su quello con prefisso 06 alcuni sono gentili e ti rispondono, altri in modo arrogante non ti servono perché non chiami dall'estero. Ma andate af**** ecc ecc

Leo

In questo caso però il ragazzo è stato arrestato perchè pensavano avesse fatto chissà quale attacco hacker, tanto che è stato rilasciato dopo esser stato schedato

Leo

Truffa: stai deliberatamente compiendo un'azione per ottenere un vantaggio economico(biglietto a poco prezzo), creando un danno all'azienda(mancato guadagno), non pagando quando dovresti

Wu Zi Mu

Ormai è divertente leggerti

Geriko

Non può essere una semplice negligenza della compagnia?

vincenzo di gesù

in italia avrebbe condiviso con gli amici sto trucchetto per viaggiare aggratis....!!!!!!!!

Francesco Renato

Non sta bene dire che il re è nudo, bisogna essere educati e fare finta di niente.

Francesco Renato

Il Principe, per sua natura, è prepotente e sospettoso, meglio stare alla larga.

Francesco Renato

In Sicilia, terra di antica civiltà, consigliano di farsi i fatti propri, cosa ben diversa dall'essere disonesti.

LoreLore

Se è stata sporta denuncia si, normalissimo. Se io ti denuncio vengono a fare un sopralluogo e prendere i tuoi dati, con possibile obbligo di spiegare l'accaduto in questura. Normale amministrazione. La stupidata l'ha fatta l'azienda a sporre denuncia (poi ritirata, visto che il fatto non sussiste) al ragazzo che ha agito in buona fede.

Francesco Renato

Prima però ti arrestano e ti mettono sottosopra la casa.

Francesco Renato

Che si deve fa' per trovare un lavoro!

Ngamer

ovvio che poi non ti fanno niente se fatto in maniera corretta

takaya todoroki

sì, e visto che insiste finisce pure nel filtro.

il Gorilla con gli Occhiali

Se lo avresti fatto davvero ti assicuro che te ne saresti accorto. :')

il Gorilla con gli Occhiali

Questa è davvero bella. Uno non la pensa come te e ti definisce direttamente troll ahahaha!!

takaya todoroki

No, sei in alto mare... mi sa che trolli, quindi ciao ciao.

takaya todoroki

ti è andata bene che non era XP

Enrico Giordani

Come sopra: se lo dici tu e' sicuramente cosi'.

stiga holmen

Prova a studiare un pò..magari eviti che qualcuno ti scriva cose a caso utilizzando il tuo profilo xD

Games

Fortnite, arrivano LEGO, corse in auto e Guitar Hero

Windows

Recensione Honor Magicbook X16, da prendere al giusto prezzo

Android

Recensione Huawei Freebuds Pro 3: super rapporto qualità - prezzo! | VIDEO

Tecnologia

Google lancia ufficialmente Gemini: la sua AI next gen arriverà anche sui Pixel 8