Mogłeś zostać pracownikiem stacji paliw. Winny błąd w aplikacji

Analiza Filipa Dębińskiego dotyczyła webowej wersji MOL Move działającej na Salesforce Sites. Badacz ustalił, że mechanizm zapisu profilu przyjmował także pola niewidoczne w interfejsie użytkownika. Właśnie ten element pozwalał wprowadzać zmiany, których zwykły użytkownik nie mógł wykonać z poziomu aplikacji.

Użytkownicy mogli zmienić adres e-mail konta mimo braku takiej opcji w panelu użytkownika, wykonać tę zmianę bez weryfikacji nowego adresu e-mail, ustawić pole, które dawało widok konta pracownika oraz edytować część własnych danych bezpośrednio z poziomu interfejsu Salesforce.

Po takiej modyfikacji Filip Dębiński zobaczył, jak wygląda konto pracownika MOL. Odszukał też dostęp do interfejsu Salesforce, gdzie po wyszukaniu własnego konta mógł przeglądać swoje rekordy i zmieniać część informacji. Nie znalazł natomiast możliwości wejścia w dane innych użytkowników.

Mimo wagi problemu sprawa nie ruszyła po pierwszym kontakcie z firmą. Po braku odpowiedzi badacz zwrócił się do Niebezpiecznik.pl. Serwis 24 czerwca wysłał pytania do biura prasowego MOL, a 26 czerwca otrzymał telefoniczne potwierdzenie, że odpowiedź zostanie przygotowana i że firma prosi o przesłanie szczegółów.

W pisemnym stanowisku MOL podkreślił, że bezpieczeństwo danych klientów oraz usług cyfrowych traktuje priorytetowo, a każde zgłoszenie potencjalnej podatności poddaje wewnętrznej analizie. Spółka zaznaczyła też, że nie prowadzi programu bug bounty, więc nie wypłaca wynagrodzeń za zgłaszanie luk.

Na dodatkowe pytania, wysłane już po pierwszej odpowiedzi, MOL odpisał 2 lipca. Firma poinformowała, że przekazała zgłoszenie do odpowiednich zespołów w Grupie MOL i prowadzi je zgodnie z obowiązującymi procedurami bezpieczeństwa. Nie ujawniła jednak technicznego statusu poprawek ani nie potwierdziła publicznie, czy podatność została już usunięta.

Najbardziej konkretne wyjaśnienie dotyczyło samego braku reakcji na pierwotną wiadomość. "Pierwotna informacja trafiła do właściwego kanału obsługi z opóźnieniem, ponieważ korespondencja została zaklasyfikowana przez serwery pocztowe jako spam" - przekazało biuro prasowe MOL.

MOL wskazał, że podstawowym sposobem zgłaszania takich spraw w MOL Polska jest adres biuro@molpolska.pl. W opisywanym przypadku właśnie ten kanał okazał się niewystarczający, bo wiadomość nie została wychwycona od razu. Oznacza to, że zgłoszenie badacza przez pewien czas pozostawało bez skutecznej obsługi.

Sprawa pokazuje też szerszy problem z przyjmowaniem informacji o podatnościach. Niebezpiecznik.pl zwrócił uwagę, że firmy powinny utrzymywać łatwo dostępny i regularnie sprawdzany kanał do takich zgłoszeń, a branżowym standardem pozostaje publikacja pliku security.txt w domenie. Według serwisu ma to szczególne znaczenie w czasie wdrażania wymogów KSC2 i NIS2, które wzmacniają rolę sprawnego zarządzania incydentami cyberbezpieczeństwa.