นักวิจัยด้านความปลอดภัยนามปากกา MLT ได้ออกมาเปิดเผยถึงช่องโหว่ Cross-site Scripting (XSS) บนเว็บไซต์ eBay ซึ่งช่วยให้แฮกเกอร์สามารถแอบส่งโค้ดเข้าไปปลอมแปลงหน้า Login เพื่อหลอกขโมยรหัสผ่านจากผู้ใช้บริการหลายร้อยล้านคนได้อย่างแนบเนียน
ช่องโหว่ XSS ที่ค้นพบนี้อยู่บน URL Parameter ที่ช่วยให้แฮกเกอร์สามารถลอบส่งโค้ด iFrame เข้ามายังเว็บไซต์ของ eBay ได้ ส่งผลให้แฮกเกอร์สามารถเชื่อมโยง iFrame ดังกล่าวกับหน้า Page สำหรับทำ Phishing เพื่อหลอกให้ผู้ใช้บริการมากรอก Username และ Password เพื่อขโมยออกไป ซึ่งทั้งหมดนี้ยังคงแสดงผลอยู่บนหน้าเว็บไซต์ปกติของ eBay
หน้า Page สำหรับทำ Phishing แทบจะมีหน้าตาเหมือนหน้า Login ปกติของ eBay ทุกประการ ต่างกันเพียงแค่ URL ในส่วนช่วงหลังเท่านั้น ซึ่งผู้ใช้บริการส่วนใหญ่จะไม่สามารถจับสังเกตได้

เมื่อผู้ใช้บริการกรอก Username และ Password ลงไปบนหน้าเว็บ Phishing นี้จะไม่สามารถเข้าใช้ระบบของ eBay ได้และข้อมูลทั้งหมดจะถูกส่งไปยังแฮกเกอร์ทันที

MLT ได้ส่งรายละเอียดช่องโหว่ไปยัง eBay ตั้งแต่เมื่อวันที่ 11 ธันวาคม หลังจากที่ eBay ได้รับเรื่องและมีการสอบถามข้อมูลเพิ่มเติม เรื่องก็เงียบหายไป ไม่มีแม้กระทั่งแพทช์ออกมาอัพเดท MLT จึงตัดสินใจเปิดเผยช่องโหว่นี้สู่สาธารณะ ซึ่งก็เปิดไปตามคาด เพียงไม่กี่วันถัดมา eBay ก็ได้ออกแพทช์เพื่ออุดช่องโหว่เป็นที่เรียบ อย่างไรก็ตาม ยังคงแนะนำให้ผู้ใช้ทุกคนเปลี่ยนรหัสผ่านใหม่ เพื่อความมั่นใจว่ารหัสผ่านล่าสุดจะไม่ได้ถูกขโมยไป

ที่มา : thehackernews