Actualización a las 1.05 p.m. 17 de octubre – Podemos confirmar de forma independiente que la vulnerabilidad se ha solucionado y que el sitio ya no muestra los detalles de la cuenta en un formato de lectura pública.
ANUNCIO
Historia original 9.01am 17 de octubre – El 15 de octubre, el Ministerio de Comercio Interior y Asuntos del Consumidor lanzó el micrositio del Programa de Subvenciones a la Gasolina para ayudar a los beneficiarios del programa de subvenciones recientemente anunciado a comprobar en línea su estado de elegibilidad.
Se estima que cerca de 2,9 millones de beneficiarios de la ayuda Bantuan Sara Hidup (BSH) podrán optar a la ayuda del subsidio a la gasolina, siempre que tengan un vehículo matriculado a su nombre. La mayor parte de los datos para la verificación en línea se basa en la información proporcionada durante la solicitud del esquema Bantuan Sara Hidup, como lo destacó el honorable ministro, Datuk Seri Saifuddin Nasution Ismail durante el lanzamiento.
Si bien el sitio funciona según lo previsto, podemos revelar exclusivamente que el sitio también revela detalles bancarios privados completos de los destinatarios elegibles. Al ingresar el número MyKAD de una persona elegible, aparecerán los detalles habituales, incluido el nombre del banco que se registró durante la solicitud de Bantuan Sara Hidup, así como el monto de elegibilidad. De manera similar a la verificación de elegibilidad de BSH, solo se mostrarán los últimos cuatro dígitos del número de cuenta.
Sin embargo, aquí es donde terminan las similitudes. Mientras que el número de cuenta en el sitio de Bantuan Sara Hidup está enmascarado en el backend y solo se envía parcialmente, el sitio del Programa Subsidi Petrol envía el número de cuenta completo y luego lo enmascara en el formulario. Una verificación rápida del código fuente de la página de resultados revelará el número de cuenta bancaria completo.
Hemos probado el número de cuenta resultante y podemos confirmar que el número de cuenta que se muestra es el número de cuenta completo y pertenece al propietario real del número de MyKAD que usamos para este ejemplo.
Continuamos y probamos al menos 5 números MyKad aleatorios más y podemos confirmar que pudimos obtener los números de cuenta completos de los destinatarios elegibles de la misma manera que se describe anteriormente.
Las cuentas bancarias locales que están siendo abusadas por estafadores con fines maliciosos han aumentado en los últimos años: el Departamento de Delitos Comerciales de la Real Policía de Malasia lanzó un sitio dedicado para que los miembros del público verifiquen si las cuentas de las que están transfiriendo o recibiendo dinero tienen ha sido marcado como cuentas de mulas.
Nos comunicamos con KPDNHEP por correo electrónico a última hora de la noche de ayer para resaltar este problema, pero aún no hemos recibido ninguna respuesta. En el momento de redactar este documento, los números de cuenta completos aún se divulgan a través del código fuente del sitio.
