Hollanda merkezli FinTech şirketi Payu'nun dijital kredi platformu olan Lazypay, bilgisayar korsanlarının tam adı, cinsiyet, doğum tarihi ve telefon numarası gibi kullanıcı verilerini kullanmalarına izin verebilecek bir güvenlik hatası bulunduğu bulundu. araştırmacı. Sorunun, Payu'ya bildirildikten sonra hızlı bir şekilde çözüldüğünü ve şirketin güvenlik açığını doğruladığını, ancak 360 numaralı cihazların sızdırıldığını söyledi. Ancak, Lazypay, kullanıcılarını kusur ve düzeltmeyle ilgili bilgilendirmedi.
Bengaluru merkezli Ehraz Ahmed, Lazypay'daki güvenlik açığını keşfetti. Kusurun, platformdaki herhangi bir kayıtlı kullanıcının telefon numarasını kullanarak saldırganların, saldırganların hassas kullanıcı bilgilerini almasına izin verdiğini belirtti.
Telefon numarasını aldıktan sonra, bir saldırgan, tam adı, cinsiyet, doğum tarihi, posta adresi, profil resmi, birincil ve ikincil e-posta adresleri ve müşteri (KYC) durumu gibi verileri alabilir, Ahmed Blog yazısı.
Sorunun, minimum programlama becerisine sahip bir hacker olarak savunmasız olduğunu, bir dizi telefon numarasını almak için kolayca bir program oluşturabilir ve hassas kullanıcı bilgilerini otomatik bir şekilde çıkarmak için teminatsız API'ye geçebilir. Araştırmacı, Gadget'lara 360, Lazypay tarafından üçüncü taraf geliştiricilere verilen API uç noktalarıdan birini kandırarak kusurları bulduğunu söyledi.
Ekim ayında güvenlik açığını bulduktan kısa bir süre sonra Ahmed, Lazypay Ebeveyn Payu'ya ulaştı. Şirket sorunu kabul etti ve hemen tam olarak düzeltti. Ahmed, Mayıs ayının sonundaki kusurla ilgili detaylarla 360 Gadget'lara ulaştı. Konuyu anladıktan sonra, meseleye daha fazla netlik elde etmek için Payu ile iletişim kurduk.
Bir Payu sözcüsü kusur ve aynı zamanda gadget'ların 360'ının fikrinin zaten yerinde olduğunu garanti etti.
Sözcüsü, "Payu, sistemlerimizin güvenliğini ve verilerimizin güvenliğini çok ciddiye alıyor" dedi. "Ödeme sistemlerimizin herkesin erişebilmesi ve kullanması için güvenli ve güvenli olmasını sağlamak için sürekli çalışırız. Ekim ayında bildirilen Lazypay ile güvenlik açığı ile ilgili olayı hemen çözüldü. Bu olaydan dolayı müşteri bilgisi kaçağı yoktu. "
Ancak şirket, müşterilerine doğrudan kişisel verilerini riske sokan olay hakkında bilgilendirmedi.
2017 yılında piyasaya sürülen Lazypay, müşterilerin taksitlerle online siparişleri için geri ödemeleri yapmalarını sağlamak için Payu tarafından bir "satın al, daha sonra ödeme" olarak geliyor. Platform, Bookmyshow, Flipkart, Makemytrip ve Swiggy de dahil olmak üzere 250'den fazla web sitesi ve uygulamaları arasında kabul edildiği iddia edildi.
Lazypay ayrıca Rs'ye kadar kişisel krediler sunar. Dijital bir süreçten 1 lakh. Platformda kaydolan müşteriler, PAN veya AADHAAR gibi fotoğraf kimliği kanıtlarını, banka bilgilerinin yanı sıra bir selfie gibi sunmaları gerekir.
Kaynak: Gadgets 360