👆спасибо Рютте за видео и фото объективного контроля. Об одном можно сожалеть: знали бы, что оно туда попрётся - подготовились бы. Ну бывает же всякое, объект сам по себе небезопасный, мало ли что там хранили, и сдетонировало только потом... 🤷‍♂️

🚨 Критическая уязвимость на 90% сайтов — захват аккаунтов через подмену Unicode в email

Если у вас на сайте есть регистрация и восстановление доступа по email — вы можете быть уязвимы к опасной атаке "Punny Code Account Takeover".

⚠️ Что происходит

Хакеры пользуются визуально идентичными, но технически разными символами Unicode (гомографами). Например:

- (с латинской буквой "a")
- аdmin@company.com (замена первой буквы на кириллическую "а")

Выглядит одинаково, но технически эти email — разные строки.

🔍 Как работает атака

1️⃣ Злоумышленник создаёт email с гомографом — например, вместо латинской «a» пишет кириллическую «а».
2️⃣ База данных (например, MySQL) при проверке таких email неправильно нормализует символы и считает их одинаковыми.
3️⃣ Почтовый сервер, наоборот, различает их, и может отправить письмо не тому человеку.
4️⃣ Хакер запрашивает сброс пароля для поддельного email — система думает, что аккаунт принадлежит реальному пользователю.
5️⃣ Письмо с ссылкой для восстановления приходит на поддельный email, которым управляет хакер.
6️⃣ Итог — потеря контроля реального пользователя над аккаунтом.

⚙️ Почему это происходит

- Разное ПО по-разному обрабатывает Unicode-символы.
- Система может считать кириллическую «а» и латинскую «a» одинаковыми, а почтовый сервис — разными.
- Особенно уязвимы сайты, не проверяющие и не нормализующие email при регистрации и восстановлении.
- Проблема касается не только email, но и OAuth/OIDC сервисов (Google, GitLab и др.), где email - ключ идентификации.

🛠 Как проверить уязвимость на своём сайте

1️⃣ Зарегистрируйтесь с обычным email — например, test@yourdomain.com.
2️⃣ Через инструменты проксирования (например, Burp Suite) замените буквы в email на похожие Unicode-гомографы (кириллические «а», «е», «о» и др.).
3️⃣ Попробуйте зарегистрировать аккаунт с таким поддельным email — если система ответит «Email уже занят», это сигнал об уязвимости.
4️⃣ Сделайте запрос на восстановление пароля для email с подменёнными символами. Если получите письмо — критическая проблема подтверждена!
5️⃣ Попробуйте войти с помощью ссылки из письма — если получилось, значит произошёл захват аккаунта.

⚡ Полезные примеры похожих Unicode символов

- Кириллическая «а» (U+0430) вместо латинской «a»
- Кириллическая «е» (U+0435) вместо латинской «e»
- Кириллическая «о» (U+043E) вместо латинской «o»
- Кириллическая «р» (U+0440) вместо латинской «p»
- Греческая «υ» вместо латинской «u»
- Математические символы, похожие на латиницу, например, 𝗍 вместо t

💡 Как защититься

✅ Обязательно нормализуйте email на сервере: приводите все похожие символы к одному виду.
✅ Настройте кодировку и collation в базе данных так, чтобы разные символы не сливались.
✅ Проверяйте email на уникальность с учётом Unicode-нормализации.
✅ Следите, чтобы почтовый сервер и веб-сервер использовали одинаковую логику обработки email.
✅ При работе с OAuth/OIDC провайдерами проверяйте и нормализуйте email-идентификаторы.

📌 Итог

Эта уязвимость — серьёзная угроза безопасности ваших пользователей и бизнеса. Проверка занимает всего несколько минут, а исправление предотвращает кражу аккаунтов и потери данных.

#Инфобез

NoName057(16) — [ПОДПИСАТЬСЯ]

⚡️⚡️⚡️ Более 5000 кибератак на счету NoName057(16) за неделю!😈

#FuckEastwood #TimeOfRetribution

NoName057(16) — [ПОДПИСАТЬСЯ]

Сделали для наших подписчиков традиционную подборку интересных новостей из сферы IT🌐
Читайте наш дайджест, обсуждайте его в комментариях и делитесь им в своих соцсетях и мессенджерах📣

👉 Когда ждать One UI 8.5 для смартфонов Samsung Galaxy

👉 Компания MTC Web Services значительно ускорила процесс создания ИИ-агентов

👉 Российские производители электроники и участники рынка ИБ видят риск заражений смартфонов из-за запоздалых обновлений по найденным уязвимостям.

👉 В конце декабря 2025 года объекты энергетической инфраструктуры Польши стали целью скоординированной кибератаки, ориентированной не на вымогательство, а на уничтожение данных и нарушение управления.

👉 Вредоносное обновление пользователи Notepad++ получали полгода

👉 Т-Банк вернулся в App Store под видом автомойки Glossflow

👉 ФСБ РФ закрыла белые списки для Сбера и других банков, не внедривших СОРМ

👉 Tesla роботакси попадают в аварии каждые 88 тысяч километров

👉 C++ Russia — большая профильная конференция по современному C++ и системному программированию.
7 мая online
16-17 мая (Москва + online)

👉 Российские ИБ-компании делают ставку на Китай и Индию

👉 Го­сударс­твен­ная Ду­ма РФ хо­чет при­рав­нять циф­ро­вые фи­нан­со­вые ак­ти­вы к об­ли­гациям для це­лей на­логооб­ло­жения.

NoName057(16) — [ПОДПИСАТЬСЯ]