Klarna: datalek bij inloggen op accounts veroorzaakt door menselijke fout
Het datalek bij betaaldienst Klarna waar gebruikers door een bug op de accounts van anderen werden ingelogd is door een menselijke fout veroorzaakt, zo laat het bedrijf in een verklaring weten. Gisteren meldde Security.NL dat gebruikers bij het inloggen in de accounts van andere gebruikers terechtkwamen. Zo was het mogelijk voor onbevoegden om van andere gebruikers adresgegevens, telefoonnummers, aankopen en andere informatie bekijken.
Klarna besloot na ontdekking van het probleem het inloggen op de app tijdelijk uit te schakelen. De fout met het inloggen heeft 9500 gebruikers geraakt, aldus de betaaldienst. Het probleem werd door een update geïntroduceerd en er is geen sprake van een inbraak door een externe aanvaller. Onderzoek wees uit dat de bug door een menselijke fout is veroorzaakt, zo laat de verklaring verder weten.
Volgens Klarna is er een proces voor het doorvoeren van updates, maar hebben die niet voorkomen dat er een bug in de code kon worden geïntroduceerd. Daarom gaat de betaaldienst het releaseproces aanpassen om dergelijke fouten in de toekomst te voorkomen. Details over de aard van de bug zijn niet openbaar gemaakt.
Het probleem was in totaal 31 minuten online aanwezig voordat het inloggen op de app werd uitgeschakeld. De update in kwestie werd vervolgens teruggedraaid. Daarnaast zijn de relevantie autoriteiten ingelicht. Er wordt nog onderzocht welke gebruikers precies zijn getroffen en op wat voor manier.
Tuurlijk is dat het begin wellicht, maar dan (1) faalt je code analyse software dus ook, (2) het 4-ogenprinciepe dus ook, (3) je teststraat dus ook.
Volgens Klarna is er een proces voor het doorvoeren van updates, maar hebben die niet voorkomen dat er een bug in de code kon worden geïntroduceerd.
Regressietesten met meerdere accounts die checken of de juiste persoon wel is ingelogd had zo iets dan toch kunnen voorkomen?
Natuurlijk zullen we nooit de details horen en speelt er wellicht iets wat veel lastiger is, maar hoop dat degene die wellicht de typo heeft gemaakt hier niet op wordt aangekeken. Daar weet je in iedergeval zeker van dat die diezelfde typo nooit meer maakt.
Tuurlijk is dat het begin wellicht, maar dan (1) faalt je code analyse software dus ook, (2) het 4-ogenprinciepe dus ook, (3) je teststraat dus ook.
Tuurlijk is dat het begin wellicht, maar dan (1) faalt je code analyse software dus ook, (2) het 4-ogenprinciepe dus ook, (3) je teststraat dus ook.
Indien het ging om een menselijke fout, dan heb jij er een hekel aan, als het als zodanig wordt benoemd ? Verder is een analyse door een buitenstaanders die geen toegang heeft tot de details van hetgeen hier is misgegaan weinig zeggend.
Tuurlijk is dat het begin wellicht, maar dan (1) faalt je code analyse software dus ook, (2) het 4-ogenprinciepe dus ook, (3) je teststraat dus ook.
Allemaal scholieren.
Mooi geleerd over vier ogen, review, teststraat - niet verkeerd, alleen de gedachte dat het dan nooit mis kan gaan is naief .
Tuurlijk is dat het begin wellicht, maar dan (1) faalt je code analyse software dus ook, (2) het 4-ogenprinciepe dus ook, (3) je teststraat dus ook.
Allemaal scholieren.
Mooi geleerd over vier ogen, review, teststraat - niet verkeerd, alleen de gedachte dat het dan nooit mis kan gaan is naief .
Dichtbij, geen scholier, docent.
Het mag mis gaan, het gaat mis. Allemaal geen probleem. Zou er staan "door een combinatie van verschillende factoren is een fout niet opvallen en alsnog in productie gekomen", dus niets "menselijke fout" dan zou ik niets zeggen. Als alleen die mens verantwoordelijk was, die ene mens, dus niet die ander die het moest checken, die software die anderen schreven die het moest controleren, dan heb ik medelijden met diegene. Was jij nooit diegene? Ik wel hoor en dan was ik heel blij dat de impact heel klein was door een releaseproces dat er vanuit gaat dat het ooit ging gebeuren en dus niet meteen 9500 klanten raakte.
In effect staat er nu gewoon dat Henk die even z'n dag niet had en hij het voor elkaar kon krijgen om in een productieomgeving rommel te trappen. Da's best knap van Henk. Henk zou eigenlijk dus een goede hacker zijn! Be more like Henk!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
