Российский хакер удержался от разорения Starbucks, а кофейня отплатила ему угрозами Материал редакции

Специалист по безопасности аналитической фирмы Sakurity Егор Хомаков, проживающий в Сан-Франциско, нашёл способ обеспечить себе «пожизненный бесплатный кофе» в Starbucks через «взлом» подарочных карт. Об этом он рассказал на «Хабрахабре».

Фото Jueno Ricey

После покупки трёх подарочных карт Starbucks номиналом по 5 долларов каждая Хомаков прошёл в личный кабинет на сайте кофейни, чтобы пополнить свой баланс, и решил исследовать его на предмет уязвимостей класса «состояние гонки» (race condition).

Ошибки типа «состояния гонки» заключаются в особенности проектирования системы, в которой конечный результат её работы зависит от порядка выполнения запросов. Залогинившись в свой кабинет из двух разных браузеров, Хомаков использовал два ключа одновременных сессий для выполнения параллельных запросов на перевод одного доллара с одной карты на другую.

По словам специалиста по безопасности, первые пять попыток не увенчались успехом, однако на шестой раз ему удалось получить две карты номиналом 15 долларов и 5 долларов. Чтобы проверить, действительно ли «взлом» удался, он пошёл с этими картами в ближайший Starbucks, где при помощи них купил воды, жвачки, сэндвич с курицей и шоколад с карамелью на общую сумму в 16,7 доллара.

Получив работающую схему, Хомаков не продолжил заниматься мошенничеством. По его словам, он тут же вернулся домой и пополнил свой баланс на 10 долларов, чтобы не оставаться в долгу на 1,7 доллара, которые он получил в результате исследования уязвимости.

Дальше хакер попытался связаться с администрацией Starbucks, чтобы сообщить о найденной уязвимости, однако в службе поддержки кофейни отказались ему помогать. Написав письмо на служебный адрес технической команды Starbucks 23 марта, Хомаков получил ответ лишь 29 апреля, а устранили уязвимость лишь спустя 10 дней.

Спасибо никто не сказал, зато был сделан недвусмысленный намёк, что я совершил «fraud» и «malicious actions» (мошенничество и действия со злым умыслом —TJ), и что они ещё подумают, что со мной сделать.

А что мог сделать я? Я мог запустить ферму из фейковых гифт-карт, купленных в разных магазинах мира, нагенерить на них кучу денег и продавать на специальных промо сайтах с 50% скидкой (чтобы не вызывать подозрения) за биткоины. Так, проработав год-другой, можно было бы высосать пару миллионов долларов из этой дружелюбной фирмы со сладким кофе.

Егор Хомаков, специалист по безопасности Sakurity

Это не первый случай, когда Хомаков обнаружил уязвимость в информационной системе крупной компании. В декабре 2013 года он рассказал о возможности рассылки спама через личные сообщения в Твиттере при помощи сторонних приложений.

{ "author_name": "Никита Лихачёв", "author_type": "editor", "tags": ["\u0445\u0430\u043a\u0435\u0440\u044b","\u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435_\u0433\u043e\u043d\u043a\u0438","\u043d\u043e\u0432\u043e\u0441\u0442\u044c","\u043d\u043e\u0432\u043e\u0441\u0442\u0438","\u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c","\u0435\u0433\u043e\u0440_\u0445\u043e\u043c\u0430\u043a\u043e\u0432","\u0432\u0437\u043b\u043e\u043c\u044b","\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c","starbucks"], "comments": 54, "likes": 34, "favorites": 5, "is_advertisement": false, "subsite_label": "tech", "id": 55175, "is_wide": true, "is_ugc": false, "date": "Thu, 21 May 2015 14:29:33 +0300", "is_special": false }
Объявление на TJ
Видео и гифки
Гифки и видео — наконец-то всё в одном месте. Это тот подсайт, куда можно постить короткие ролики, коубы и гифки без…
Подписаться
Подписан
Отписаться
Комментарии

Честной теркин30см

2

И все-таки он Хомяков, несмотря на ник - http://habrahabr.ru/post/139399/#comment_4657570

Заинтересованный ихтиандр

4

Перевелись настоящие русские хакеры. Я все жду новость о том как какой-нибудь наш соотечественник таки воспользовался уязвимостью и сделал на этом акулиард

Западный фитиль

6

Старбакс скоты
Могли бы отблагодарить уж

Технологии
дискуссии в сообществе доступны только владельцам клубного аккаунта
С клубным аккаунтом вы сможете
создавать записи и вести дискуссии в закрытых сообществах
наслаждаться нашим сайтом без рекламы
помочь проекту и почувствовать себя лучше
Купить за 75₽
Обсуждаемое
Новости
Фигурант «московского дела» Айдар Губайдулин уехал из России. Он находится под подпиской о невыезде
Его обвинили в том, что он бросил в сторону силовика пластиковую бутылку.
Наука
Парижский зоопарк представил новый экспонат — это «слизь» без мозга с 720 полами и способностью к самоисцелению
Таинственное одноклеточное существо назвали в честь хоррора 1958 года, где инопланетная слизь напала на американский городок.
Новости
На Алтае на деньги Фёдора Смолова отремонтировали сельский Дом культуры. Он перевёл средства на проекте Comment Out
Учреждению хотят присвоить имя футболиста сборной России.
Популярное за три дня
Интернет и мемы
Це pain
Новости
Фигуранты дела «Нового величия» порезали себе вены в зале суда
О состоянии пострадавших пока ничего не известно.
Наука
Парижский зоопарк представил новый экспонат — это «слизь» без мозга с 720 полами и способностью к самоисцелению
Таинственное одноклеточное существо назвали в честь хоррора 1958 года, где инопланетная слизь напала на американский городок.

Прямой эфир

[ { "id": 1, "label": "100%×150_Branding_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox_method": "createAdaptive", "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "ezfl" } } }, { "id": 2, "label": "1200х400", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "ezfn" } } }, { "id": 3, "label": "240х200 _ТГБ_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "i", "ps": "cndo", "p2": "fizc" } } }, { "id": 4, "label": "Article Branding", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "p1": "cfovy", "p2": "glug" } } }, { "id": 5, "label": "300x500_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "ezfk" } } }, { "id": 6, "disable": true, "label": "1180х250_Interpool_баннер над комментариями_Desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "clmf", "p2": "ffyh" } } }, { "id": 7, "label": "Article Footer 100%_desktop_mobile", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "byswn", "p2": "fjxb" } } }, { "id": 8, "label": "Fullscreen Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fjoh" } } }, { "id": 9, "label": "Fullscreen Mobile", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fjog" } } }, { "id": 10, "disable": true, "label": "Native Partner Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyb" } } }, { "id": 11, "disable": true, "label": "Native Partner Mobile", "provider": "adfox", "adaptive": [ "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyc" } } }, { "id": 12, "label": "Кнопка в шапке", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fdhx" } } }, { "id": 13, "label": "DM InPage Video PartnerCode", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox_method": "createAdaptive", "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "cndo", "p2": "flvn" } } }, { "id": 14, "label": "Yandex context video banner", "provider": "yandex", "yandex": { "block_id": "VI-223677-0", "render_to": "inpage_VI-223677-0-130073047", "adfox_url": "//ads.adfox.ru/228129/getCode?pp=h&ps=cndo&p2=fpjw&puid1=&puid2=&puid3=&puid4=&puid8=&puid9=&puid10=&puid21=&puid22=&puid31=&puid32=&puid33=&fmt=1&dl={REFERER}&pr=" } }, { "id": 15, "label": "Баннер в ленте на главной", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "byudv", "p2": "ftjf" } } }, { "id": 16, "label": "Кнопка в шапке мобайл", "provider": "adfox", "adaptive": [ "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "ccydt", "p2": "ftwx" } } }, { "id": 17, "label": "Stratum Desktop", "provider": "adfox", "adaptive": [ "desktop" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fzvb" } } }, { "id": 18, "label": "Stratum Mobile", "provider": "adfox", "adaptive": [ "tablet", "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fzvc" } } }, { "id": 20, "label": "Кнопка в сайдбаре", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "p1": "chfbk", "p2": "gnwc" } } } ]