Хабраюзер нашел уязвимость в софте "Рос. Такси" для таксопарков, который зимой "Яндекс" купил за 1 млрд рублей.
«Яндекс» приобрел «РосТакси» за 500 млн кэшэм + 500 млн акциями → Roem.ru
Дыра в коде позволяла за короткое время (у автора ушло 20 минут) получить базу данных всех водителей "Яндекс.Такси" во всех городах с их телефонами, рейтингами, номерами прав, лицензий и другой информацией.
Информацию можно было не только получать, но и изменять, например, отменить заказ одной компании и назначить машину другой.
Самое интересное, что это не просто какая-то одна дырка, а все ПО целиком такое, весь сервис построен на том, что НИКАКОЙ защиты информации нет. Продукт представляет собой просто этакий просмотрщик записей в БД без какой-либо защиты между пользователями.
[..]
Мне кажется, что, проводя сделку за миллиард, не выделить 10 тыс руб на один рабочий день специалиста для проведения аудита это… гхм… или сознательная халатность, или совсем уж хочется побыстрее от миллиарда избавиться :)
"Яндекс" в комментарии Roem.ru сообщил, что уязвимость уже закрыта, но не ответил на вопрос о техническом аудите до или после покупки "Рос. Такси".
(обновлено в 17:15): В оригинальном посте появилось сообщение, что аккаунт хабраюзера был взломан, и сам он этот пост не писал. Однако, "Яндекс" все равно уязвимость подтвердил, отмечая, что уже ее закрыл.
Вы знаете, монополии обычно становятся монополиями для того, чтобы цены повышать, а не снижать. Но рынке такси порог входа был и есть относительно низок и если Яндекс.Такси когда-нибудь резко повысит цены, тут же народится множество мелких конкурентов.
А так агрегаторы превратили рынок продавца в рынок покупателя. Понятно, продавцу не очень нравится, особенно должно не нравиться владельцам таксопарков/диспетчерских. Но зато очень нравится покупателям и в целом устраивает непосредственно водителей. Значит, так оно и будет.