5 Min LegereFons: annis per Getty ImagesInvestigatores vulnerabilitatem criticam in programma authenticationis hardware invenerunt, quod aditus ad systemata gubernationis et financialium globalium valde sensitiva adhibetur. In casibus ubi methodi digitalis simpliciter non satis tutae sunt, organizationes praecaventes possunt requirere ut usores ad systemata sensitiva cum authenticatione multifactoriali (MFA) hardware se authentificent. Post omnia, non vis simplicem tesserae sinere hackers in systema quod transferentias financiales vel negotia officialia gubernationis facilitat. MFA basata in hardware aliquod medium communicationis inter token hardware unius et website in quaestionem requirit, quod investigatores continue inveniunt esse punctum debile in tota dispositione. "SConnect," a Thales Group conglomerato possessa, est unum exemplum huius. Est extensio navigatrum cum plus quam 1 milione usorum in Chrome Web Store, et multo plures in aliis app stores. Adhibetur ad authenticationem ad systemata nationalia gubernationis maioris — sicut provider identitatis nationalis Qataris, Tawtheeq, et Agency Taxae Suecicae, Skatteverket — et varios portales banking et assecurationis. Notabiliter, SConnect diu unus ex primariis modis ad accessum ad Societatem pro Telecommunicatione Financiali Interbancaria Globali (SWIFT) systema banking quod totum apparatus financialem globalem sustinet.
Relatum: Estne tua organizatio parata ad 2027 AI Responsabilitatis Aetatem?
In relatione exclusivam cum Dark Reading ante publicationem communicatam, aficionados extensiones navigatrum apud Bay Area Labs vulnerabilitatem in SConnect delineaverunt. Vulnerabilitas sinit aggressorem ad perficiendum impetum remote code execution (RCE) per "drive-by" contra usores in paucis secundis. Et, dicunt investigatores, potentiales scenarii impetuum multo peiores fieri possunt. Thales Group SConnect in Apple App Store et Chrome Web Store in Augusto correxit et app omnino a Microsoft Edge in Septembri removit. CVE, CVE-2026-18397, die 1 Octobris publicavit. Societas ei "criticam" 9.4 ex 10 in Communi Vulnerabilitatis Scoring System (CVSS) 4.0 scala assignavit, et usores debent suas versiones quam primum renovare.
Vulnerabilitas Critica in Gubernatione, Banking Middleware
SConnect, sicut alia middleware authenticationis sensitiva, extensio levem navigatrum cum programma desktop laborioso coniungit. Usores websites SConnect-integratas visitant, claves suas hardware in computatores vel lectores dispositivorum coniunctorum premunt, et extensio et host native communicationem inter se facilitant, sicut duo parvi advocati. Si omnia secundum consilium procedunt, software confirmat utrum website et token hardware sint entitates fideles, auctorizatae.
Relatum: Vulnerabilitates Backlogs Problema Possessionis
Primum problema cum SConnect erat quod extensio navigatrum nuntios ab ullo pagina vel iframe inclusa accipiebat, sive esset systema banking SWIFT sive lowtpills[.]com. Ita, quilibet aggressor conari posset in SConnect authenticationem fluere si victimam ad rectam paginam perducere posset. SConnect tamen verum verificaret, utique, per explorandum si validum RSA digitalem signaturam ab suo venditore, Thales Group, possideret. In hoc faciendo, reservavit buffer ad tenendum eventum calculationis RSA. App developerum hanc probationem ipsi designaverunt, concludit Bay Area Labs, et defecerunt contra scenario ubi aggressor signaturam invalidam, nimiam suppeditavit. In illo casu, calculatio deficeret sine quicquam ad reservatum spatium memoriae scribendo. SConnect non exploravit utrum originalis calculatio successisset, sed tamen legere buffer vetus. Si aggressor id cum bene designatis patternibus byte ad signaturam eventus falsificandam impleret, software fortasse acceptaret substitutionem falsam aggressoris ut validam. Uti agentibus AI, Bay Area Labs hoc circa 18% temporum, cum conarentur, assecuti sunt, et interim, conatus defectus nullam visibilem errorem causarunt qui usores monere posset se sub impetu esse.
Relatum: Quomodo CISO-CMO Societas Fidem Aedificat Antequam Crisis Incidit
"Ad finem diei," explicat James Arnott, conditor Bay Area Labs, "probationem cryptographicam implementaverunt, et ipsi id fecerunt. Librariam non usi sunt, et id confuserunt."
Ut consequens, websites malignae possent SConnect securitatis probationem transire et bibliothecam dynamicam malignam (DLL) per hostem suum native ad RCE liberum onere. In testibus suis, investigatores impetum end-to-end in sex ad decem secundis planis perfecerunt. "Visita paginam cum iframe maligno, tunc infectus es. Ad veritatem dicam, inde potes fere quidquid vis facere," inquit Arnott.
Non est evidens vulnerabilitas simpliciter explorata, fatetur, sed capacitas accelerationis AI impetum in manibus ponit: "Antea opus esset conatu nationis. Sed cum hanc exploitationem evolverem, valde agent-driven erat. Agentibus Ghidra ad decompilandum hostem native, et Frida ad spectandum memoriam ad videndum quid successurum esset pro heap spray et quid non esset."
Thales Group nondum respondit ad petitionem Dark Reading pro commentario de hac historia.
Defensores, Re-Evaluate Tua SWIFT Banking Securitas
Ad authentificandum ad systema SWIFT, opus erit "3SKey" — token securitatis USB distributum corporibus sociis pro suis maxime permittentibus operariis.
Per annos, programma software default coniungens 3SKeys cum systemate quod aperuerunt erat SConnect. In Septembri 2025, cooperativa SWIFT replacementem nomine "Web Connect" introduxit. Ab eo tempore conatur movere clientes corporatos ad Web Connect, et a SConnect.
SConnect est finis vitae (EoL) ex mense praeterito, sed id non significat omnes iam transiisse.
"Suspicor plerosque adhuc habere, si SWIFT utuntur, [cum] SConnect sit fallback si Web Connect nondum configuratum est," inquit Arnott. Fatetur id valde difficile esse.