AI pentest phát hiện lỗi bỏ qua OTP trên website sản xuất
"During an authorized assessment, an AI pentesting agent discovered a critical authentication bypass on a major insurer’s production website. The flaw allowed the login request to control where the one-time passcode was delivered, so the server could send the OTP to an attacker-controlled email address instead of the account’s registered contact, enabling account access; no CVE was mentioned, and the issue was reported to the insurer for remediation."
Ảnh hưởng trực tiếp đến xác thực tài khoản; có thể dẫn tới chiếm quyền truy cập nếu bị khai thác; cần ưu tiên khắc phục ngay.
Có thể gây rủi ro gian lận và truy cập trái phép trên hệ thống khách hàng; ảnh hưởng đến uy tín và chi phí xử lý sự cố.
Trong một đánh giá được cấp phép, một AI pentesting agent đã phát hiện lỗi bỏ qua xác thực nghiêm trọng trên website sản xuất của một hãng bảo hiểm lớn. Lỗ hổng nằm ở luồng đăng nhập: yêu cầu cấp one-time passcode (OTP) cho phép người dùng thay đổi kênh nhận mã và địa chỉ nhận mã. Khi chuyển sang email, máy chủ có thể gửi OTP tới địa chỉ do yêu cầu chỉ định, thay vì địa chỉ đã gắn với tài khoản.
Điều này làm suy yếu cơ chế xác thực vì OTP không còn được ràng buộc đúng với tài khoản. Theo mô tả, kẻ tấn công có thể dùng các định danh khách hàng cần thiết để truy cập vào tài khoản của nạn nhân. Vấn đề đã được báo cáo cho nhà cung cấp để khắc phục; bài viết không nêu CVE.
Khuyến nghị kỹ thuật: rà soát toàn bộ luồng OTP/2FA, đảm bảo máy chủ chỉ chấp nhận địa chỉ và kênh đã đăng ký; kiểm tra lại logic xác thực ở API đăng nhập; bổ sung kiểm thử bảo mật liên tục cho các luồng sản xuất; và xác minh lại sau vá để tránh tái phát khi ứng dụng thay đổi.