En forskare upptäckte ett fel på Floridas statliga inkomstwebbplats, som gjorde det möjligt för alla med inloggningsåtkomst att se, ändra och till och med ta bort andras register.
Även om avdelningen fixade denna bugg efter att ha blivit informerad, det avslöjade på något sätt alla bankkonto- och personnummer för över 713 000 ansökningar. Avdelningen informerar alla skattebetalare om incidenten och erbjuder dem ett års gratis kreditövervakning.
Att exponera skattebetalarnas data
Som TechCrunch rapporterade, heter en forskare Kamran Mohsin hade upptäckt en bugg på Floridas skattedepartements webbplats som avslöjade känsliga uppgifter från hundratusentals skattebetalare.
I skrivande stund har webbplatsen över 713 000 ansökningar inlämnade av skattebetalare, med detaljer som nummer och bankuppgifter som exponerade data. Felet sägs vara osäkra direkta objektreferenser och är relativt lätt att fixa.
Och det lappades av Floridas inkomstdepartement fyra dagar efter att ha informerats av Mohsin den 27 oktober. Medan man hittade, det ledde till att alla med inloggningsåtkomst kunde se, ändra och till och med radera andra skattebetalares personuppgifter genom att helt enkelt ändra webbadressen – peka på en skattebetalares ansökningsnummer.
Även om felet är lätt att åtgärda, hade det en stor inverkan, med tanke på hur lätt det är att leka med. Allt som hotaktören behöver göra är att bara ändra siffrorna i webbadressen – till siffrorna för målets applikationsnummer. Nåväl, ingen sådan illegal incident har ägt rum förrän nu, säger avdelningens representant Bethany Wester.
Vidare sa hon att två icke namngivna företag har ansett att webbplatsen är säker och att de kontaktade alla berörda skattebetalare per telefon eller skriftligen inom fyra dagar efter att incidenten erkändes. Även om de är säkra på att inget missbruk har ägt rum, erbjuder de fortfarande ett års gratis kreditövervakning till alla skattebetalare.
