Vie privée - attaque "pré-hijack"

Message par **solar10** » 26 mai 2022, 11:27

Pas tout lu mais c'est dingue les trous de sécurité de pas mal de site en fait.

En gros, le pirate devine à l'avance à quel(s) service(s) en ligne sa victime pourrait s'abonner. Il crée un compte avec l'adresse courriel de sa cible et garde une session ouverte indéfinilent. La victime fait pas gaffe et demande un reset password. Mais l'enfoiré a toujours sa session ouverte et ainsi peut accéder à toutes les infos de sa victime.

https://www.securityweek.com/hackers-ca ... ated-users

Message par **Mackguil** » 27 mai 2022, 07:50

C'est là que le 2fa prend tout son sens.

Message par **ben007** » 27 mai 2022, 08:43

Mackguil a écrit : 27 mai 2022, 07:50 C'est là que le 2fa prend tout son sens.

Et après on me trouve parano avec toutes mes sécurités , pas tant que ça finalement

Message par **solar10** » 27 mai 2022, 09:44

2FA ou pas, si le siteweb est codé avec les pieds et autorise des longues sessions alors que tu viens de faire un reset password, t'es quand mêle foutu.

Message par **Mackguil** » 27 mai 2022, 20:28

solar10 a écrit : 27 mai 2022, 09:44 2FA ou pas, si le siteweb est codé avec les pieds et autorise des longues sessions alors que tu viens de faire un reset password, t'es quand mêle foutu.

Ouaip.

Message par **Entropy** » 27 mai 2022, 21:09

solar10 a écrit :2FA ou pas, si le siteweb est codé avec les pieds et autorise des longues sessions alors que tu viens de faire un reset password, t'es quand mêle foutu.

Y a vra des sites qui autorisent ça ?

Sent from my Xiaomi Mi 10 T Pro using Tapatalk