سؤال اصلی اینجاست:
چطور امکان لاگین با دسترسی ادمین وجود داشته؟
در حالی که تیم امنیتی ایرانیکارت مدعی است:
«با این باگ امکان سوء‌استفاده وجود ندارد»
🧪 تست سناریو (PoC)
در سناریوی تست‌شده:
1️⃣ لینک دکمه‌های ورود و ثبت‌نام به‌صورت موقت تغییر داده شد
2️⃣ یک صفحه ورود جعلی کاملاً مشابه نسخه اصلی طراحی شد
3️⃣ کاربر شماره تلفن خود را وارد می‌کند
4️⃣ درخواست ارسال کد OTP انجام می‌شود
از این نقطه، دو سناریوی خطرناک قابل اجراست:
⚠️ سناریو اول: فیشینگ کامل
ارسال یک کد OTP فیک
نمایش یک داشبورد مشابه اصلی
انجام خرید توسط کاربر
دریافت اطلاعات بانکی
پایان سناریو
بدون نیاز به نفوذ مستقیم به سرور.
⚠️ سناریو دوم: سوء‌استفاده از OTP واقعی
کاربر شماره تلفن و کد OTP واقعی را وارد می‌کند
در همان بازه زمانی، مهاجم با همان اطلاعات وارد حساب واقعی کاربر می‌شود
خالی کردن کیف پول
تبدیل موجودی به گیفت‌کارت‌های غیرقابل رهگیری
❗️ جمع‌بندی
همیشه تیم‌های امنیتی داخلی ادعا می‌کنند:
«هیچ راه سوء‌استفاده‌ای وجود ندارد»