Баг в хранении данных «Ситимобила» позволяет отследить любого водителя Информация никак не шифруется

В системе хранения данных о водителях агрегатора такси «Ситимобил» нашли уязвимость. Ее обнаружил один из авторов интернет-портала «Хабр», инженер Сергей Крупник.

Крупник выяснил, что доступ к информации о местоположении машин открыт фактически для всех желающих в режиме реального времени. Чтобы получить данные, необходимы только телефон и компьютер с доступом в интернет. Также должен быть подключен прокси.

Публичными оказались данные об идентификаторе такси, его географические координаты, код направления, цвета и тип автомобиля. С помощью алгоритма инженер собрал информацию обо всех водителях, которые работают с платформой «Ситимобил» в данное время. Он узнал их маршруты и расположение машин по районам.

Как отреагировали в компании

На официальном портале для ИТ-специалистов и хакеров hackerone запрос Крупника отклонили, отметив, что «он не касается никаких чувствительных данных», а данные о местоположении таксистов открыты для всех пользователей «Ситимобил» и не нуждаются в специальной защите.

Однако позже под публикацией Крупника на «Хабре» появился другой комментарий от представителя «Ситимобил» Георгия Лобушкина. В нем говорится, что изначальный запрос на hackerone не содержал всей информации из статьи. В итоге «Ситимобил» готов выдать вознаграждение инженеру и предложить ему присоединиться к штату компании.

Георгий Лобушкин

директор по связям с общественностью «ситимобил»


«Отображение доступных машин поблизости без пассажиров — штатная функциональность любого приложения по заказу такси, которую на данный момент нет планов менять. Описанный баг не позволял получить данные водителей  с пассажирами и не позволял трэкать их перемещения. В любом случае у нас есть план технически ограничить получение подобных данных».

Как можно использовать открытые данные

Полученные Крупником данные позволяют оценить долю рынка и доходность «Ситимобила», определить расположение таксистов по районам и даже вычислить, кто из них одновременно работает на несколько разных агрегаторов такси. Кроме того, возможность отследить водителя означает, что можно в итоге проследить и за клиентом — узнать, куда поехал человек, исходя из того, где он сел в машину.

Обновление

В пресс-службе «Ситимобил» заявили, что отслеживать пассажиров не получится, потому что в момент получения заказа водитель пропадает с карты. То есть это происходит еще до начала самой поездки.


Источник: «Хабр»

Share
скопировать ссылку

Читайте также:

Как агрегаторы такси следят за адекватностью водителей?
Как агрегаторы такси следят за адекватностью водителей? Можно ли садиться в машину, не опасаясь за свою жизнь
Как агрегаторы такси следят за адекватностью водителей?

Как агрегаторы такси следят за адекватностью водителей?
Можно ли садиться в машину, не опасаясь за свою жизнь

«Яндекс» попробовал ограничить вызов такси под камеры. «Ситимобил» делает так уже полгода
«Яндекс» попробовал ограничить вызов такси под камеры. «Ситимобил» делает так уже полгода Агрегаторы пытаются решить проблему водителей со штрафами за остановку в центре Москвы
«Яндекс» попробовал ограничить вызов такси под камеры. «Ситимобил» делает так уже полгода

«Яндекс» попробовал ограничить вызов такси под камеры. «Ситимобил» делает так уже полгода
Агрегаторы пытаются решить проблему водителей со штрафами за остановку в центре Москвы

Мэрия обязала агрегаторов такси передавать личные данные водителей в ЦОДД

Из-за этого такси может подорожать

Mail.ru Group добавила в подписку Combo доступ к онлайн-кинотеатру Okko (обновлено)

За подписку придется платить 199 рублей в месяц

Тэги

Новое и лучшее

Эксклюзив The Village: Запрет на выезд из России можно проверить на черном рынке

Бывший студент ИТМО годами преследует учительницу химии

Кафе Birds в Белграде

Криптовалюта — все еще удобный способ вывода денег. Варианты для уехавших

Проблемы диаспоры. Лев Левченко — о том, почему русские в эмиграции не здороваются друг с другом

Первая полоса

«Счастлив это рвать»: В Хабаровске уничтожили книги, «пропагандирующие ЛГБТ»

Что говорят об этом сами активисты?

«Дождь» уволил своего журналиста за оговорку про «помощь в оснащении» российской армии

Сегодня же канал оштрафовали в Латвии за два прошлых эфира

Эксклюзив The Village: Библиотеки прямо сейчас прячут от читателей книги иноагентов

Их уже нельзя заказать онлайн и взять на месте

Бар в Петербурге уволил официанта, который носил жетон с символикой ВСУ

Как быстро отреагировало руководство заведения и при чем тут «Мужское государство»?

В России появятся казачьи факультеты

Какие предметы будут изучать студенты новых направлений?

10 главных ресторанных открытий Москвы 2022 года
10 главных ресторанных открытий Москвы 2022 года Очереди в Sangre Fresca, атмосферная «Библиотека» в Переделкине и Amy на месте Saxone + Parole
10 главных ресторанных открытий Москвы 2022 года

10 главных ресторанных открытий Москвы 2022 года
Очереди в Sangre Fresca, атмосферная «Библиотека» в Переделкине и Amy на месте Saxone + Parole

Официанты и бармены остались без работы

Почему сейчас ресторанному бизнесу не нужны новые сотрудники?

Кто такие Лена и Катя, написавшие «Лето в пионерском галстуке»?

Кто такие Лена и Катя, написавшие «Лето в пионерском галстуке»?Харьков, каминг-аут, лесопилка и хейтеры

Кто такие Лена и Катя, написавшие «Лето в пионерском галстуке»?

Кто такие Лена и Катя, написавшие «Лето в пионерском галстуке»?
Харьков, каминг-аут, лесопилка и хейтеры

И нашим, и вашим: Что не так с non/fiction№24?
И нашим, и вашим: Что не так с non/fiction№24? «Восемь. Донбасских. Лет», истории об аутизме и автофикшн Эми Липтрот
И нашим, и вашим: Что не так с non/fiction№24?

И нашим, и вашим: Что не так с non/fiction№24?
«Восемь. Донбасских. Лет», истории об аутизме и автофикшн Эми Липтрот

«Тайны ФИФА»: Лев Левченко — о том, как смотреть чемпионат мира во время войны
«Тайны ФИФА»: Лев Левченко — о том, как смотреть чемпионат мира во время войны И сериале Netflix про коррупцию в ФИФА
«Тайны ФИФА»: Лев Левченко — о том, как смотреть чемпионат мира во время войны

«Тайны ФИФА»: Лев Левченко — о том, как смотреть чемпионат мира во время войны
И сериале Netflix про коррупцию в ФИФА

Что делать в Белграде? Выпуск № 5, декабрь
Что делать в Белграде? Выпуск № 5, декабрь Смотреть аналоговое кино, слушать группу «Интурист» и дарить новогодние подарки детям беженцев
Что делать в Белграде? Выпуск № 5, декабрь

Что делать в Белграде? Выпуск № 5, декабрь
Смотреть аналоговое кино, слушать группу «Интурист» и дарить новогодние подарки детям беженцев

Можно ли отказаться идти на войну через суд?

Собрали все известные случаи

Как пытают в Москве?

Как пытают в Москве?Можно ли вообще добиться правосудия? Исследование «Команды против пыток» и The Village

Как пытают в Москве?

Как пытают в Москве? Можно ли вообще добиться правосудия? Исследование «Команды против пыток» и The Village

Показываем куски манги «Человек-бензопила»

Показываем куски манги «Человек-бензопила»Петр Полещук выясняет: это безумный слэшер или религиозная притча?

Показываем куски манги «Человек-бензопила»

Показываем куски манги «Человек-бензопила» Петр Полещук выясняет: это безумный слэшер или религиозная притча?

«Забрать свой цинк». История Ольги Гуровой
«Забрать свой цинк». История Ольги Гуровой Психолог лаборатории опознания трупов из Чечни теперь работает с жертвами войны в Украине
«Забрать свой цинк». История Ольги Гуровой

«Забрать свой цинк». История Ольги Гуровой
Психолог лаборатории опознания трупов из Чечни теперь работает с жертвами войны в Украине

Бывший студент ИТМО годами преследует учительницу химии

Бывший студент ИТМО годами преследует учительницу химииЧто ей делать?

Бывший студент ИТМО годами преследует учительницу химии

Бывший студент ИТМО годами преследует учительницу химии Что ей делать?

«Почта России» запустила доставку одежды из Европы. Также стало известно, кто займет место H&M в торговых центрах

Что делать в Тбилиси? Выпуск № 5, декабрь
Что делать в Тбилиси? Выпуск № 5, декабрь Изучать коррупцию и ездить на велосипеде
Что делать в Тбилиси? Выпуск № 5, декабрь

Что делать в Тбилиси? Выпуск № 5, декабрь
Изучать коррупцию и ездить на велосипеде

Какие фильмы поддержит Минкульт в 2023 году в первую очередь

У метро «Проспект Просвещения» в Петербурге появился шар, который подозрительно похож на фигуру с Alibaba

Совфед одобрил закон о запрете митингов у зданий органов власти и церквей

Сотрудники склада Ozon в Подмосковье заболели менингитом. Госпитализировано более 10 человек

Совфед одобрил пакет законов о запрете «пропаганды» ЛГБТ, педофилии и смены пола в кино, книгах, рекламе и СМИ

Сырки «Б. Ю. Александров» вернутся на прилавки

Popcorn Books больше не издают и не продают квир-книги. Завтра последний день, когда их можно купить

«За него все подписали и теперь везут в военную часть в Твери». Данила Шершева из «Кружка» забрали в армию

В «Черную пятницу» россияне потратили более 13 миллиардов рублей

На обвиняемую в распространении «фейков» про армию России Викторию Петрову давят в СИЗО через ее сокамерниц

МИД закупил подарки для оставшихся в России иностранных дипломатов — Baza

«Яндекс» запустил тариф «Вместе» для поездок с незнакомцами в такси

Сколько пожертвовали москвичи на строительство православных храмов за 12 лет

Спрос на iPhone 14 в России упал в 2,5 раза по сравнению с продажами гаджетов предыдущей модели

В Minecraft появился постсоветский зимний двор — с пятиэтажками, гаражами и турниками

Какая погода ожидается в Москве, Петербурге, Тбилиси, Ереване и Белграде в начале декабря

В 1976 году Путин провел обыск за надпись «Вы распинаете свободу, но душа человека не знает оков» на Петропавловке

Студентку, рассказавшую о принудительных гуманитарных сборах, исключили из техникума

«Мама, я дома»: Как мать наемника ЧВК ждет сына с фронта
«Мама, я дома»: Как мать наемника ЧВК ждет сына с фронта Ужасно, когда на войне погибают, но порой еще хуже, когда с нее возвращаются
«Мама, я дома»: Как мать наемника ЧВК ждет сына с фронта

«Мама, я дома»: Как мать наемника ЧВК ждет сына с фронта
Ужасно, когда на войне погибают, но порой еще хуже, когда с нее возвращаются

Гид по рынкам Тбилиси
Гид по рынкам Тбилиси Продукты на Дезертирке и в Глдани, антиквариат на «Навтлуги», фуд-корт на Bazari Orbeliani, а еще цветочный рынок и «Золотая биржа»
Гид по рынкам Тбилиси

Гид по рынкам Тбилиси
Продукты на Дезертирке и в Глдани, антиквариат на «Навтлуги», фуд-корт на Bazari Orbeliani, а еще цветочный рынок и «Золотая биржа»

В парках Москвы открылся 21 каток с искусственным льдом

«ВКонтакте» заблокировала группу «Совета матерей и жен военнослужащих»

Ведущая «Спокойной ночи, малыши» предложила привезти на фронт Хрюшу со Степашкой и попросить украинцев «остановиться»

РПЦ безвозмездно получила здание петербургской РАНХиГС. Студентов чуть не выселили

В ноябре число объявлений о срочной продаже квартир в России достигло рекорда

Little Big покинули двое музыкантов. Похоже, что группа распалась

Петербургскую тюрьму «Кресты» выставят на продажу

Московские кинотеатры «Факел», «Юность» и «Звезда» откроются в новом году

В Белграде тоже можно быть полезным. Вот наш гид по волонтерству
В Белграде тоже можно быть полезным. Вот наш гид по волонтерству Антивоенные сборы, борьба с патриархатом на Балканах и зоозащитники
В Белграде тоже можно быть полезным. Вот наш гид по волонтерству

В Белграде тоже можно быть полезным. Вот наш гид по волонтерству
Антивоенные сборы, борьба с патриархатом на Балканах и зоозащитники

Более 50% благотворительных фондов заявили о сокращении пожертвований

Это идеальная ЛГБТ-пропаганда

Это идеальная ЛГБТ-пропагандаЛучшие фильмы, чтобы посмотреть с гомофобом, если ему не слабо

Это идеальная ЛГБТ-пропаганда

Это идеальная ЛГБТ-пропаганда Лучшие фильмы, чтобы посмотреть с гомофобом, если ему не слабо

Движение Food not bombs в Москве прекратило деятельность из-за угрозы опасности

Сегодня в Тбилиси пройдет марш против сексуального насилия

Что делать в Ереване? Выпуск № 5, ноябрь — декабрь
Что делать в Ереване? Выпуск № 5, ноябрь — декабрь Участвовать в благотворительном забеге, слушать «Аигел» и смотреть «Треугольник печали»
Что делать в Ереване? Выпуск № 5, ноябрь — декабрь

Что делать в Ереване? Выпуск № 5, ноябрь — декабрь
Участвовать в благотворительном забеге, слушать «Аигел» и смотреть «Треугольник печали»

На Бауманской горит ТЦ «Елоховский пассаж»

Сериалу «Монастырь» не выдали прокатное удостоверение. По мнению РПЦ, он оскорбляет чувства верующих

Где учить турецкий язык: От онлайн-школ до бесплатных курсов в Стамбуле
Где учить турецкий язык: От онлайн-школ до бесплатных курсов в Стамбуле Даже простое «merhaba» прибавит вам очков в глазах местных
Где учить турецкий язык: От онлайн-школ до бесплатных курсов в Стамбуле

Где учить турецкий язык: От онлайн-школ до бесплатных курсов в Стамбуле
Даже простое «merhaba» прибавит вам очков в глазах местных

Ночью в «Открытом пространстве» проходили обыски. Задержали более 15 человек, многие из них рассказывают об избиениях

Ювелирные изделия в России скоро ощутимо подорожают
Ювелирные изделия в России скоро ощутимо подорожают Объясняем, почему так и где купить украшения дешевле, пока не поздно
Ювелирные изделия в России скоро ощутимо подорожают

Ювелирные изделия в России скоро ощутимо подорожают
Объясняем, почему так и где купить украшения дешевле, пока не поздно

Первоклашкам предложили написать письмо «незнакомому мобилизованному» — вместо Деда Мороза

Как разговаривать с близкими, которые стали жертвами пропаганды
Как разговаривать с близкими, которые стали жертвами пропаганды Пошаговая инструкция для россиян
Как разговаривать с близкими, которые стали жертвами пропаганды

Как разговаривать с близкими, которые стали жертвами пропаганды
Пошаговая инструкция для россиян

Цена на импортные новогодние ёлки вырастет на 25%. В Рослесинфорге предложили россиянам самим сходить в лес за елью