Fallo de seguridad en la web de la CMT

Escrito por: Daycom Technologies el 02-agosto-2010, 11:12
telefono

Rastreando por la web descubrí un nuevo servicio de la CMT para saber a que operadora pertenece un número de móvil.
Mi curiosidad me llevó a probar con el mío y ver que realmente la web estaba en lo cierto y que era de Movistar.
Pero seguí investigando como hago con todos lo servicios nuevos que descubro, suelo mirar  en que tecnología están realizadas, si cumplen estándares web y si tienen un mínimo de seguridad. Por desgracia observo que el captcha de este servicio no funciona correctamente y las consultas se pueden realizar vía GET con tan solo unos pocos parámetros:

http://www.cmt.es/cmt_ptl_ext/SelectOption.do?tipo=buscar&nav=estado_num&tb_numMov=XXXXXXXXX

Si pones esa URL en tu navegador, sustituyes XXXXXXXXX por el número de móvil en cuestión y le das INTRO observarás, tras unos segundos, que aparece  una página de la CMT y a media página el teléfono que has introducido y la compañía a la que pertenece.

Grave error!!!.  Si pusieron captcha para evitar consultas automatizadas ya habéis visto lo fácil que es saltárselo  y lo peligroso que puede resultar, pues seguro que hay muchas empresas de marketing y telefonía interesadas en obtener un listado completo de los números de móvil asociados a operadoras. Imagino que habrán tomado medidas secundarias de seguridad como  un máximo de peticiones desde una IP, sin ir más lejos,  de lo contrario el tema de la calidad de la consultora de turno que ha programado y diseñado la seguridad de la web  queda en entredicho.

Lógicamente tras descubrir el error de seguridad lo primero que hago es avisarles, dirigiéndome a  su página de contacto y comentándoles el problema  detectado.
 

Actualización 03-08-2010 (15:05 h):  He recibido un email de la CMT agradeciéndome el haber detectado el problema y ya lo han solucionado. Los felicito por haberlo solucionado tan rápido.