Testa le tue competenze

Un IDOR succede quando un sito usa ID prevedibili nell’URL, per esempio numeri di fatture o documenti, ma non controlla correttamente se l’utente ha davvero il permesso di accedere a quel file.

Esempio:

/invoices/1234
diventa
/invoices/1235

Se cambiando il numero riesci a vedere la fattura o il documento di un altro utente, il problema non è l’URL in sé. Il problema è che il sito non sta controllando correttamente le autorizzazioni.

A. Phishing
Il phishing è quando un attaccante prova a ingannare una persona per farle inserire dati sensibili, come password, codici di accesso o dati della carta, usando email, SMS o pagine false.
In questo caso nessuno sta cercando di ingannare l’utente con un messaggio o una pagina falsa, quindi non è phishing.

B. Ransomware
Il ransomware è un malware che blocca o cripta i file e poi chiede un pagamento per sbloccarli.
In questo caso nessun file viene criptato o tenuto “in ostaggio”, quindi non è ransomware.

D. Keylogger
Un keylogger è un programma o malware che registra quello che l’utente digita sulla tastiera, per esempio password o numeri di carta.
In questo caso non c’è nulla che registra i tasti premuti: il problema è un controllo degli accessi fatto male dal sito.