Mail.ru и "Мой офис" обменялись претензиями из-за уязвимости почтовых клиентов

В пятницу руководитель группы информационной безопасности почты Mail.Ru Карим Валиев рассказал на странице в Facebook, что провел тестирование почтового клиента "Новых облачных технологий" "для чиновников" - "Мой офис", и пришел к выводу, что он содержит уязвимости.

Валиев утверждает, что на поиск уязвимостей у него ушло всего 10 минут. При этом, отмечает специалист, он потратил около двух недель на то, чтобы получить промокод для регистрации в почтовом сервисе. Самой распространенной проблемой, отмечает Валиев, является уязвимость типа XSS. Она позволяет хакеру получить доступ к аккаунту жертвы, например, если жертва перейдет по специальной вредоносной ссылке. Такая ссылка может быть включена в тело письма.

Валиев подчеркивает, что на тестирование его сподвигло ранее опубликованное исследование "Новых облачных технологий", в котором те критикуют уровень защищенности почтовых систем типа Mail.ru, "Яндекс" и других популярных сервисов. По данным этого исследования (есть у "Ведомостей"), доля использующих публичные почтовые сервисы госорганов составляет 78%. Авторы документа отметили, что более 60% федеральных органов власти и силовых структур используют такие сервисы для служебной переписки, что грозит поставить под угрозу кибербезопасность госорганизаций, а также привести к утечке конфиденциальной информации. Только 7% ведомств пользуются специальными ведомственными почтовыми сервисами, отмечают "Новые облачные технологии", их они считают более защищенными.

"Получается, на данный момент "Мой офис" по уровню защищенности находится далеко позади Mail.ru, "Яндекса" и других публичных почтовых сервисов, раскритикованных в этом исследовании", - считает Валиев. Он отмечает, что "пока трудно рекомендовать этот продукт к использованию тем, кто заботится о своей безопасности, и тем более госструктурам".

Представитель "Моего офиса" Федор Скуратов в ответ на это на своей странице в Facebook заявил, что "Карим тестировал февральскую версию "Мой офис почта". Он также отметил, что скоро у компании будет новый релиз, в котором заранее все учли найденные коллегами уязвимости. Также Скуратов подчеркивает, что ошибки и баги бывают у всех сервисов.

Уязвимости, которые нашла Mail.Ru Group, компания Digital Security (проводит заказной анализ уязвимостей компьютерных систем) находила в тестовом продукте "Новых облачных технологий" еще осенью прошлого года, говорит директор Digital Security Илья Медведовский. По его словам, в нынешней версии продукта "Новые облачные технологии" уже устранили эту проблему.