Хакер с помощью Claude получил доступ к билетам на музфестивали в США

Уязвимость была в системе Front Gate Tickets (FGT), которая занимается продажей билетов большинства крупных событий в мире музыки. ИБ-исследователь Иэн Кэрролл заметил, что почти каждый фестиваль связан с одной и той же горсткой доменов FGT, а стоящие за ними системы выглядят достаточно старыми.

Он решил проверить, насколько глубоко можно проникнуть в систему. С помощью подсказок Claude он обошёл фильтры AWS WAF (Web Application Firewall от Amazon, защищает сайты от SQL‑инъекций и XSS) и получил доступ к базе данных. Там обнаружились коды для сброса паролей, что позволило зайти под учётной записью суперадминистратора. В панели управления он получил возможность бесплатно выписывать себе «comp tickets» (VIP-билеты стоимостью до $4000 на любое событие).

Кэрролл не стал злоупотреблять доступом и сообщил о проблеме Front Gate Tickets. Компания поблагодарила исследователя за аудит и закрыла уязвимость. При этом в FGT подчеркнули, что утечки пользовательских данных не произошло, а проход на самые дорогие зоны фестивалей только через специальные чипированные браслеты.