Un agente de IA detectó una vulnerabilidad crítica que permitía eludir el código OTP en el entorno de producción. El ataque fue lo más fácil.
El fallo era sencillo: el proceso de inicio de sesión permitía elegir dónde se enviaba el código de acceso. Lo difícil fue demostrarlo en una página web en funcionamiento. En resumen: durante una evaluación autorizada, un agente de pruebas de penetración basado en IA detectó por sí mismo una vulnerabilidad crítica que permitía eludir la autenticación en la página web de producción de una importante aseguradora. Una solicitud de inicio de sesión permitía al usuario elegir dónde se enviaba el código de acceso de un solo uso. El ataque fue la parte fácil. Demostrarlo…