«Админка наружу, можно во все каналы сообщения отсылать» — в MAX взломали стороннего бота для отложенного постинга и устроили массовую рассылку. История, которую будут рассказывать на курсах по кибербезу, произошла с популярным сервисом «Отложка», которому владельцы каналов выдавали права администратора для автопостинга. По данным автора расследования на Хабре, через него хакер разослал сообщения сразу по десяткам подключённых каналов. И да, бот якобы прошел «аудит безопасности у ведущих специалистов по ИБ в России». Для каждого пользователя существовала доступная кнопка “разослать по всем каналам”, которой хакер воспользовался. Не хочу никого задевать, но у этого эксплойта должна быть премия Дарвина. Безопасная соцсеть, безопасные боты 😬