Newsgroup: it.comp.giochi.action
Titolo: Come ti hackero AMAZON

Avete messo le verifiche a 2 fattori e dunque pensate di dormire sonni
tranquilli ?
Manco per il cazzo, alla fine l'hacker fa le stesse identiche cose di
20 anni fa. Ti hackera la mail ed entra su Amazon, tanto il codice di
verifica viene mandato sulla mail anche se hai impostato come
predefinito il cellulare o comunque ha avuto modo di farselo mandare
solo sull'e-mail e il gioco è fatto !


Aggiungo anche che, oltre a cambiare password, avrebbe potuto pure
cambiare la mia mail dell'account amazon e prenderne il pieno
possesso, visto che la verifica per il cambio mail non avviene su
altro device ma... sempre sulla mail !

 AmigOS 18.02.2022 10:36:03 +01:00

Infatti uno dei principi base della 2FA è che la seconda validazione sia 
disconnessa/disaccoppiata dalla prima, per questo vengono usati 
tipicamente gli OTP o le chiavi hardware o gli SMS. La possibilità di 
arrivare a loggarti conoscendo unicamente user e password della email 
contraddice il concetto di 2FA completamente. Normalmente si mantiene una 
sorta sicurezza e quando richiedi una nuova password c'è tipicamente una 
domanda extra tipo "il nome del tuo gatto", questo per mantenere a 2 le 
informazioni di cui hai bisogno per loggarti. Ma usare la email rimane un 
2FA debole, credo la usino davvero in pochi.
-- 
Soprano

 2FA debole, credo la usino davvero in pochi.
 
lo usano i povery
 
 
-- 
Fra


Non ti seguo, a me il codice OTP arriva *SOLO* su cellulare e comunque 
sia, anche volesse hackerare la mail (almeno nel mio caso) dovrà sempre 
affrontare una V2F il cui codice OTP è creato da apposita app che genera 
codici installata sul mio telefono.  

 codici installata sul mio telefono.
 
PS
non è che come password avevi "password" ??


i povery tipo amazon
 
-- 
Soprano

  papà Gatto™ 18.02.2022 12:08:27 +01:00

amazon a quanto pare da la possibilità di scegliere come ricevere gli otp, 
via mail o authenticator (non ho idea perché non ho account amazon)
 
-- 
Soprano


Sì, ma dopo che gliel'hanno rubata ha cambiato in 12345

 Sì, ma dopo che gliel'hanno rubata ha cambiato in 12345
 
Che combinazione! E' la stessa della mia valigetta!
 
-- 
Parte della disumanità del computer sta nel fatto che, una volta 
programmato e messo in funzione, si comporta in maniera perfettamente 
onesta.

 i povery tipo amazon
 
amazon ha una esigenza diversa: non cagare il cazzo all'utente per evitare 
che nel frattempo cambi idea e non compri  piu' quello che stava comprando 
:-)
 
Non fanno nemmeno la verifica della mail in fase di registrazione
 
 
-- 
Fra

 Sì, ma dopo che gliel'hanno rubata ha cambiato in 12345
 
Abbiamo video...
 
https://youtu.be/COSf3wkQzB4
 

 LOL per la cit.
 
Era facile, dai...


 
https://youtu.be/COSf3wkQzB4
 
 
Old 🤣


Dopo dura riflessione, interzoid ha scritto :

https://www.youtube.com/watch?v=COSf3wkQzB4
 
LOL
 
-- 
Il Papa si rivolge ai giovani: “Andate controcorrente”. Inculatevi un 
prete.

codici installata sul mio telefono.  
 
Lo pensavo anche io ma a quanto pare c'è la possibilità di farselo
mandare via e-mail, infatti nello stesso minuto ne è stato inviato sia
uno sul cell che uno su email ed ovviamente ha usato quello arrivato
via e-mail


No, l'avevo cambiata in 12345678

AmigOS ha usato la sua tastiera per scrivere :

strano...
io ho provato a loggarmi con i dati della mia email e pass, ma 
cambiando browser internet e mi è arrivata notifica sul cellulare per 
accettare o rifiutare tale autenticazione
 
-- 
 
 
--

accettare o rifiutare tale autenticazione
 
Credo che se invece provi a cambiare password, ti venga dato la
possibilitą di farsi mandare l'OTP via mail al posto del cell

 possibilità di farsi mandare l'OTP via mail al posto del cell
 
A me ogni volta che provo ad aggiungere o sostituire un indirizzo di 
consegna fa reinserire il n. di carta di credito.
Se ti hacherano l'account poi che fanno? Possono comprarsi un po' di 
ricariche o libri per il kindle, ma poi?
 
-- 
We only write our names in sand

 LOL
 
Tu sei old al cubo! Passi per un caffè oggi pomeriggio o direttamente 
settimana prox? 


ricariche o libri per il kindle, ma poi?
 
Poi ti comprano una card da 50 Euro per XBOX LIVE.
Ecco che ci fanno.
Quella arriva immediatamente via e-mail

 Quella arriva immediatamente via e-mail
 
Ok: una truffa rognosa ma da poco insomma.
A meno che non possano comprarsi 20 ricariche...


Allora, ho ricostruito la situazione ed è molto più INQUIETANTE
 
Ieri, qualcuno è entrato con la mia email e password di amazon, non ha
avuto bisogno di nessuna verifica OTP (non vi è traccia ne nelle
e-mail ne sul cell) ed ha acquistato una ricarica da 50 Euro XBOX
 
Come ci è riuscito, resta un mistero.
 
Questa mattina, la stessa persona (o un'altra) invece ha fatto il
cambio password che ho riportato, senza però compiere nessuna
transazione, almeno credo, visto che non ho tracce sulle email.
 
Da notare che su Amazon ha cancellato gli ultimi acquisti, non so in
che modo, ma non sono più visibili nemmeno nella sezione acquisti
cancellati.
 
Insomma, tutte le features per un delinquente, sono disponibili !

 settimana prox? 
 
Prox settimana, ti faccio sapere in anticipo quando sarò lì al flaminio
 
-- 
Usa, in pochi giorni tre stragi a una sagra, al supermercato e in un 
bar. Per fortuna tra poco riaprono le scuole.

 possibilità di farsi mandare l'OTP via mail al posto del cell
 
Si ma comunque non ho capito checcazzo ti hachkera affare amazon che tanto 
il massimo che puo' fare e' guardarsi prime video (se hai il prime)...


Veramente l'ho scritto. S'è comprato una ricarica da 50 euro di XBOX
LIVE

 LIVE
 
Ah lol, e' vero, non avevo pensato alla roba digitale.
Comunque errore tuo che non hai la doppia autenticazione sulla mail. Ma 
che email e'?

 2FA debole, credo la usino davvero in pochi.
 
La questione e' che avere doppia autenticazione associata a una mail che a 
sua volta non abbia doppia autenticazione e' come non averla...


Il problema è che la doppia autenticazione dovrebbe funzionare.
In questo caso, pare che non sia partita nemmeno via e-mail


E' tiscali. Si errore mio. Dovrei andare da loro, mettermi a
sviluppare codice e implementare la doppia autenticazione.
 
Detto questo, l'acquisto fraudolento è stato fatto ieri e da Amazon
non è partita nessuna autenticazione ne via e-mail ne via cellulare,
duqnue potrebbero anche essere entrati direttamente su Amazon senza
nemmeno passare per la posta.

 nemmeno passare per la posta.
 
Ah ecco appunto, secondo me il fatto che ti abbiano hackerato la mail e' 
la cosa piu' improbabile.. (anche perche' ci entri ancora no?).
Evidentemente su amazon usavi stessa mail e stessa password che usavi da 
qualche altra parte a cui chissa' quando bucarono i server (come successe 
a me quando mi incularono netflix perche' usavo stessa mail e password che 
usavo sul psn strabucato)

usavo sul psn strabucato)
 
A prescindere dalla password usata, resta da capire come abbiano fatto
a collegarsi senza codice OTP, visto che a me lo chiede !

 a collegarsi senza codice OTP, visto che a me lo chiede !
 
Abboh, una volta successe una roba del genere ( non su amazon) a un amico 
mio, giorni a scervellarsi de che ccazzo era successo, poi venne fuori che 
era stato il figlio 15enne usando il suo computer. Lol


Il problema è che non ho figli quindicenni.

 Il problema è che non ho figli quindicenni.
 
Lol, si immaginavo, comunque sulla roba amazon non ci farei affidamento, 
io sono anni che cerco di cambiare la mail dell'account amazon perche' 
associato a una vecchia mail fastweb che vorrei levarmi dai cojoni ma non 
ci riesco perche' ogni volta mi da errore senza motivo.

ci riesco perche' ogni volta mi da errore senza motivo.
 
Bhooo... questa mattina ho fatto richiesta per chiudere un secondo
account amazon che non uso e che è legato ad una mail gmail che vorrei
appunto mettere su questo, ma sono in attesa che mi arrivi e-mail di
conferma cancellazione account.
 
Vediamo un po'

 Come ci è riuscito, resta un mistero.
 
Questo è strano. L'assistenza Amazon che dice?


Hanno detto che mi ricontattano entro 48h
 
Vero che effettivamente, se si è veloci, riesci a canellare una mail
che arriva dal client senza che poi mi arrivi sulla posta, però se
devi cancellare una mail che prima devi aprire, bhooo... mi pare
strano.
 
comunque sicuramente mi ha hackerato il client di posta, perché li ci
sono e-mail che ha canellato che però ho ricevuto in locale.

 strano.
 
Sì ma non esiste che si può bypassare la 2FA, sarebbe una falla di 
sicurezza clamorosa, mi sembra molto strano che Amazon lo permetta.
Tu hai letto di altri a cui è successo?
 

 ed ha acquistato una ricarica da 50 Euro XBOX
 
Xbox....è Lorenz non ci sono dubbi!


Perché qua c'è scritto
 
https://www.amazon.com/gp/help/customer/display.html?nodeId=G3PWZPU52FKN7PW4
 
 
"When you sign up for Two-Step Verification, you can choose to receive 
the security code by text message or authenticator app."
 
Quindi la conferma via mail sembrerebbe esclusa.

Quindi la conferma via mail sembrerebbe esclusa.
 
Al 100% non hanno usato verifiche via cell.
Sicuramente sono entrati nella mia posta. vedo traccia dei codici per
il cambio password di Amazon di questa mattina,ma non vedo codici di
accesso per l'acquisto che hanno fatto ieri.
Se sono stati più veloci della luce, possono averlo ricevuto via mail,
letto tramite accesso web e cancellato immediatamente prima che mi
potesse arrivare via e-mail.
 
La cosa drammatica è che possono da Amazon cancellare le transazioni,
dunque tu alla fine non hai nemmeno modo di vedere se qualcuno ha
fatto degli acquisti non voluti. Questo si che è una bella falla di
Amazon o meglio una scelta senza senso.


E' la prima cosa che ho pensato.

 Xbox....è Lorenz non ci sono dubbi!
 
Piu' che altro ogni volta che si va a prendere carte xbox o psn sui vari 
cdkeys and c. ricordiamoci che se ridiamo e' perche' qualcuno ha pianto.


Si, diciamo che tutta la roba "digitale" rubata, poi da qualche parte
va a finire.
Sarebbe bello che ci fosse un'organizzazione in modo che tramite
segnalazioni, tali codici venissero subito segati. In questo modo, il
fenomeno sparirebbe subito.


fidanzata ? fratellino ? cuginetto ?
 
dai che lo becchi fra questi :)

 Al 100% non hanno usato verifiche via cell.
 
https://www.hwupgrade.it/news/sicurezza-software/sim-swapping-cresce-l-allarme-ecco-perche-e-pericoloso-e-quali-contromisure-adottare_104742.html
 
 
-- 
@Lell...@mastodon.uno

dai che lo becchi fra questi :)
 
Accedo solo io.

 Xbox....è Lorenz non ci sono dubbi!
 
Na vorta semmai...


https://www.hwupgrade.it/news/sicurezza-software/sim-swapping-cresce-l-allarme-ecco-perche-e-pericoloso-e-quali-contromisure-adottare_104742.html
 
 
Nel momento in cui ha fatto cambio password ed è arrivato il codice
OTP sul mio cellulare, ovvero alle 6 e passa di mattina, era in
modalità AEREO e dunque l'SMS è arrivato solo quando l'ho acceso.
Che in questo momento esistano in contemporanea due cellulari in
funzione, il mio e quello clonato mi pare che tecnicamente non sia
nemmeno fattibile

 potesse arrivare via e-mail.
 
Ho provato ad attivare 2Fa sul mio account Amazon e non è possibile 
abilitare la verifica con l'indirizzo mail, nè come metodo principale nè 
come backup. Mi propone solo app o n. di telefono.
 
Per curiosità, se controlli i metodi di autenticazione impostati sul tuo 
account, cosa vedi?
La pagina è questa qui:
https://imgur.com/a/UTXEVpH
 
 


https://imgur.com/a/UTXEVpH
 
 
Ho il metodo preferito tramite SMS sul cell
Accedendo online, non c'è modo per farselo mandare via e-mail, almeno
non lo trovo. 


https://imgur.com/a/UTXEVpH
 
 
Ora ho cambiato l'autenticazione, usando un'app.
In questo modo, dovrebbe essere più difficile per un hacker, rispetto
alla ricezione di un SMS

 wrote:
 

... il problema rimane sul fatto che nel cambio password, può chiedere
il codice via e-mail, dunque una mezza inculata rimane sempre.