Falsificação de solicitação entre sites (CSRF)

Cross-Site Request Forgery (CSRF) , também conhecido como XSRF, é um método de ataque que engana um navegador web, levando-o a executar ações indesejadas em um aplicativo do usuário. Semelhante a ataques de phishing , os ataques CSRF são geralmente realizados por meio de engenharia social maliciosa , como um e-mail ou link que induz a vítima a enviar uma solicitação falsificada para um servidor. Como o usuário desavisado está autenticado pelo aplicativo no momento do ataque, é quase impossível distinguir uma solicitação legítima de uma falsificada. Um ataque CSRF bem-sucedido pode ser devastador tanto para a empresa quanto para o usuário. Pode resultar em danos às relações comerciais, transferências de dinheiro não autorizadas, alteração de senhas e roubo de dados. Dependendo da natureza do ataque CSRF, o hacker pode obter controle total sobre a conta do usuário. Se o usuário comprometido tiver uma conta privilegiada (de administrador) no aplicativo, o invasor poderá assumir o controle total de todos os dados e funcionalidades do aplicativo.

Fonte: Imperva , PortSwigger

Leitura complementar: Google e Mozilla preparam o terreno para um 'mundo pós-XSS'

Termos relacionados: Ataque de sequestro de sessão

O que isso significa para uma PME?

Pequenas e médias empresas (PMEs) podem adotar uma série de medidas preventivas para ajudar a prevenir e proteger seus funcionários contra ataques CSRF. Da perspectiva do usuário, a prevenção consiste em proteger as credenciais de login e impedir que agentes não autorizados acessem os aplicativos.

As melhores práticas para funcionários incluem:

• Sair de aplicativos da web quando não estiverem em uso
• Protegendo nomes de usuários e senhas com senhas de mais de 14 caracteres armazenadas em um Password Manager
• Não permitir que os navegadores lembrem senhas

Melhores práticas para empresas que desenvolvem código:

• Execute periodicamente seu código de desenvolvimento dinâmico e código estático ferramentas de análise para tentar identificar problemas de segurança a serem resolvidos.
• Considere contratar uma empresa de testes de segurança de aplicativos para realizar “fuzzing de aplicação” sua aplicação para vulnerabilidades de segurança.
• Treine seus desenvolvedores sobre Os 10 principais erros de programação da OWASP feito por desenvolvedores.

Para saber mais sobre o CSRF, assista a este breve vídeo:

Você está fazendo o suficiente para proteger seu negócio?

Cadastre-se no CyberHoot hoje e durma melhor sabendo que seu

Os funcionários são treinados cibernéticos e estão em alerta!

Inscreva-se hoje!