Xakep #305. Многошаговые SQL-инъекции
Пользователи и исследователи обратили внимание, что в сети ресторанов быстрого питания McDonald’s в Австралии и Новой Зеландии появились огромные NFC метки, наклеенные прямо под столешницами. Исследователи PlayTechNZ изучили новшество более детально и пришли к печальному выводу, что безопасность данного решения оставляет желать лучшего.
Очевидно, приклеивая гигантские метки под поверхностями столов, в McDonald’s рассчитывали на простой эффект: как только пользователь садится есть и выкладывает свой смартфон на стол, о себе дает знать приложение для чтения NFC меток.
Пользователи Reddit отмечают, что NFC метки, скорее всего, появились под столешницами в ходе кампании Create Your Taste, которая позволяет клиентам заведения самостоятельно создать собственный бургер. Или это часть кампании Happy Table, которая призвана развлечь детей, во время посещения McDonald’s, и как раз предусматривает наклеивание NFC меток под стол. Как бы то ни было, McDonald’s явно преследовал простую цель — показать клиентам во время еды дополнительную рекламу и как-то их развлечь.
Заинтересовавшись находкой, исследователи из PlayTechNZ обнаружили, что метки абсолютно не защищены. Переписать их функциональность мог кто угодно, что автоматически ставит под угрозу всех пользователей, которые после сядут за данный стол, со включенным NFC на смартфоне.
Видео ниже демонстрирует, что специалисты без труда перепрограммировали метку и заставили ее открывать официальный сайт PlayTech. Но это далеко не самое страшное, что можно сделать. Столь же легко метка может инициировать отправку текстовых сообщений или выполнение голосового вызова. Таким способом жертву можно заманить на вредоносный сайт, или предложить скачивание якобы легитимного приложения McDonald’s, которое на самом деле будет малварью.
«Представьте, что сидите со своими детьми и едите Хеппи Мил, и тут на вашем телефоне открывается RedTube», — шутят исследователи.
Получить официальный комментарий от представителей McDonald’s в Австралии и Новой Зеландии ни СМИ, ни самим исследователям не удалось. В конце своего видео специалисты PlayTechNZ рекомендуют пользователям отключать NFC на смартфоне, если функция не используется, а также сообщают, что перед уходом из ресторана они удалили все следы своего вмешательства, так что столы в McDonald’s больше не открывают официальный сайт PlayTech.
