“`html
Rapido’da Güvenlik Açığı Kapatıldı
Hindistan’daki popüler araç çağırma platformu Rapido, kullanıcılar ve sürücülerle ilgili kişisel bilgilerin ifşa olduğu bir güvenlik açığını giderdi.
Güvenlik Araştırmacısı Tarafından Tespit Edildi
Bu açık, güvenlik araştırmacısı Renganathan P tarafından keşfedildi. Sorun, Rapido auto-rickshaw kullanıcılarından ve sürücülerden geri bildirim almak için tasarlanan bir web formu ile ilgiliydi. Bu form, tam adlar, e-posta adresleri ve telefon numaraları gibi bilgileri ifşa ediyordu.
Araştırmacı, TechCrunch’a yaptığı açıklamada, maruz kalan verilerin Rapido’nun bir API’sine ait olduğunu ve bu API’nin geri bildirim formundan alınan bilgileri üçüncü taraf bir hizmetle paylaştığını belirtti.
Veri İfşası Onaylandı
TechCrunch, geri bildirim formuna bir mesaj göndererek bu bilgilerin doğruluğunu test etti ve gönderim sonrası bu bilginin hemen ifşa edilen portaldaki kayıtlarda göründüğünü fark etti.
Perşembe günü itibarıyla, ifşa edilen portalda 1.800’den fazla geri bildirim yanıtı kaydedilmişti; bu yanıtlarda sürücülere ait çok sayıda telefon numarası ve daha az sayıda e-posta adresi yer alıyordu.
Olası Tehlikeler
Araştırmacı, bu verilerin kötü niyetli kişilerin eline geçmesi durumunda büyük bir dolandırıcılığa yol açabileceğini, bunun sonucunda sürücülere çağrılar yapılabileceğini ve sosyal mühendislik saldırıları gerçekleştirilebileceğini ifade etti. Ayrıca, bu telefon numaralarının ve diğer verilerin yanlış ellere geçmesi durumunda karanlık ağda satışa çıkarılabileceği uyarısını da yaptı.
Rapido’nun Yanıtı
TechCrunch, verilerin ifşası ile ilgili olarak Rapido ile iletişime geçtikten kısa bir süre sonra, Rapido ifşa edilen portalı gizli hale getirdi.
Rapido CEO’su Aravind Sanka, TechCrunch’a gönderdiği e-posta açıklamasında, “Standart bir operasyon prosedürü olarak, paydaşlarımızdan değerli geri bildirim almak için çalışıyoruz. Bunu dışarıdaki partilerle yönetiyoruz ve anladık ki, anket bağlantıları public’ten bazı istenmeyen kullanıcılara ulaşmış,” dedi. Sanka, toplanan telefon numaralarının ve e-posta adreslerinin “şahsi olmayan” nitelikte olduğunun altını çizdi.
“`
