SQL-инъекция принесла хакерам 100 тыс. долларов

Хакерская группа TeamB3rS3rK опубликовала 20-минутное видео с демонстрацией SQLi-атаки, которую они провели на сайт американского провайдера Sebastian, предоставляющего услуги доступа в интернет, телефонную связь и телевидение на территории Калифорнии.

С помощью SQL-инъекции хакеры собрали имена и пароли около сотни пользователей Sebastian. По словам злоумышленников, они использовали собранную информацию для доступа к почтовым ящикам Gmail. Как известно, многие люди используют одинаковые пароли на разных сервисах. Завладев почтовыми ящиками, в них был проведен полнотекстовый поиск по слову Paypal для поиска информации о денежных переводах. Кроме того, хакеры проверили те же самые учетные данные в онлайн-банкинге Citibank — и тоже нашли немало совпадений.

Хакеры утверждают, что получили доступ к банковским счетам многих пользователей и сняли с них в общей сложности $100 тыс. Таким образом, простенькая SQL-инъекция принесла им очень большую прибыль.

Однако, поверить в эту историю сложно. Сложность заключается не в получении доступов к Paypal-аккаунтам или аккаунтам клиент-бинкинга, основная проблема для хакеров — это обналивание средств. Или же процесс перевода средств с взломанного аккаунта на аккаунт дропа для обнала. В случае с Paypal обязателен еще ряд условия, например, совпадение ip-адреса владельца и телефон.