Szeretne azonnal értesülni a legfontosabb hírekről?
Az értesítések bekapcsolásához kattintson a "Kérem" gombra!
Az értesítés funkció az alábbi böngészőkben érhető el: Chrome 61+, Firefox 57+, Safari 10.1+
Köszönjük, hogy feliratkozott!
Hoppá!
Valami hiba történt a feliratkozás során, az oldal frissítése után kérjük próbálja meg újra a fejlécben található csengő ikonnal.
Már feliratkozott!
A böngészőjében az értesítés funkció le van tiltva!
Ha értesítéseket szeretne, kérjük engedélyezze a böngésző beállításai között, majd az oldal frissítése után kérjük próbálja meg újra a fejlécben található csengő ikonnal.
[{"available":true,"c_guid":"59b2ac1e-733a-4438-9578-e6ea492c50bb","c_author":"HVG","category":"kkv","description":"Az SK komáromi és iváncsai akkugyárának dolgozói korábban nem látott elbocsátási hullámról számoltak be a múlt héten.","shortLead":"Az SK komáromi és iváncsai akkugyárának dolgozói korábban nem látott elbocsátási hullámról számoltak be a múlt héten.","id":"20250312_sk-elbocsatasok-szabalyszeruseg-vizsgalat-nemzetgazdasagi-miniszterium","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/59b2ac1e-733a-4438-9578-e6ea492c50bb.jpg","index":0,"item":"0939409a-0ee7-4c74-ad16-a08ca0e3db2c","keywords":null,"link":"/kkv/20250312_sk-elbocsatasok-szabalyszeruseg-vizsgalat-nemzetgazdasagi-miniszterium","timestamp":"2025. március. 12. 10:54","title":"Megvizsgálná a kormány, hogy szabályszerűen épít-e le a koreai SK","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":false,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null},{"available":true,"c_guid":"35e3cc05-80a1-4aca-9c38-44c9e55d07c8","c_author":"HVG","category":"itthon","description":"A politológus szerint Gulyás Gergely és Rogán Antal helyzete megrendülhetett a kormánypártban.","shortLead":"A politológus szerint Gulyás Gergely és Rogán Antal helyzete megrendülhetett a kormánypártban.","id":"20250312_torok-gabor-hatalmi-atrendezodes-fidesz","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/35e3cc05-80a1-4aca-9c38-44c9e55d07c8.jpg","index":0,"item":"11ddd06e-2701-4724-b7b0-2ec18be17b87","keywords":null,"link":"/itthon/20250312_torok-gabor-hatalmi-atrendezodes-fidesz","timestamp":"2025. március. 12. 15:48","title":"Török Gábor: Hatalmi átrendeződés zajlik a Fideszben","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":false,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null},{"available":true,"c_guid":"e066c3d8-2dfd-4c61-b8e1-35ab6fa7dae4","c_author":"Proktis-M ","category":"brandchannel","description":"Számtalan olyan egészségi probléma létezik, ami kezdetben csak kisebb kellemetlenséget okoz, így esetleg nem fordítunk időben kellő figyelmet a kezelésére és gyógyítására. Ezek az apróságok aztán igen kellemetlen, fájdalmas betegséggé is nőhetnek. Erre jó példa az aranyér, amiről nehezen beszélünk, pedig, ha időben és jól kezeljük, sok fájdalomtól, bosszúságtól és akár költségtől is megkímélhetjük magunkat.","shortLead":"Számtalan olyan egészségi probléma létezik, ami kezdetben csak kisebb kellemetlenséget okoz, így esetleg nem fordítunk...","id":"20250228_Mitol-gyullad-be-az-aranyer-proktis","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/e066c3d8-2dfd-4c61-b8e1-35ab6fa7dae4.jpg","index":0,"item":"8103a6b8-f3b4-42f4-b55e-7e657addb35b","keywords":null,"link":"/brandchannel/20250228_Mitol-gyullad-be-az-aranyer-proktis","timestamp":"2025. március. 12. 07:30","title":"Mitől gyullad be az aranyér?","trackingCode":"RELATED","c_isbrandchannel":true,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":true,"c_ishvg360article":false,"c_partnername":"Proktis-M","c_partnerlogo":"a0e2b63f-e8d5-4c40-b3e8-aaa57a007b03","c_partnertag":""},{"available":true,"c_guid":"65b66c8c-43fb-476e-b4f7-c1aea189885e","c_author":"HVG","category":"360","description":"A TV2-n futó sorozat gyártási költségvetéséből „mindössze” 2 milliárd forint a nem állami forrás. ","shortLead":"A TV2-n futó sorozat gyártási költségvetéséből „mindössze” 2 milliárd forint a nem állami forrás. ","id":"20250313_hvg-Hunyadi-sorozat-allami-tamogatas-kozel-a-24-milliardhoz","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/65b66c8c-43fb-476e-b4f7-c1aea189885e.jpg","index":0,"item":"324f7bdc-1683-41d3-bab3-490a0b006b83","keywords":null,"link":"/360/20250313_hvg-Hunyadi-sorozat-allami-tamogatas-kozel-a-24-milliardhoz","timestamp":"2025. március. 13. 10:42","title":"Hunyadi-sorozat: még annál is több állami támogatást kapott, mint amiről eddig tudtunk","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":true,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null},{"available":true,"c_guid":"c4760b2e-3ac4-487b-b007-6891f5f93a95","c_author":"hvg360","category":"360","description":"Mark Thiessen konzervatív elemző kifejti, hogy a Fehér Ház szándékait rosszul értelmezik mind a bírálók, mind a Kijev-ellenes tábor hívei. Merthogy az amerikai elnök egyáltalán nem szerelmes Vlagyimir Putyinba, nem akar Moszkvának kedvezni, másfelől nem ellenséges az ukránokkal szemben.","shortLead":"Mark Thiessen konzervatív elemző kifejti, hogy a Fehér Ház szándékait rosszul értelmezik mind a bírálók, mind...","id":"20250312_Washington-Post-Marc-Thiessen-Trump-Ukrajna","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/c4760b2e-3ac4-487b-b007-6891f5f93a95.jpg","index":0,"item":"baa84c1e-6b94-40e7-88d7-1f3ceab44f97","keywords":null,"link":"/360/20250312_Washington-Post-Marc-Thiessen-Trump-Ukrajna","timestamp":"2025. március. 12. 15:17","title":"A Washington Post kommentátora órákon át beszélt Trumppal, és szerinte sokan félreértik az elnök Ukrajna-politikáját","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":true,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null},{"available":true,"c_guid":"87c732ac-ab2e-4a57-94ab-80d5be0781da","c_author":"HVG","category":"elet","description":"Szombat délután vetítik le a megkurtított részeket, hogy „mindenki élvezni tudja”.","shortLead":"Szombat délután vetítik le a megkurtított részeket, hogy „mindenki élvezni tudja”.","id":"20250312_hunyadi-szexjelenetek-cenzura-ebx","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/87c732ac-ab2e-4a57-94ab-80d5be0781da.jpg","index":0,"item":"425932e7-360d-4013-9c2b-4f16a4fde0fe","keywords":null,"link":"/elet/20250312_hunyadi-szexjelenetek-cenzura-ebx","timestamp":"2025. március. 12. 17:28","title":"Hogy a családok is megnézhessék a Hunyadit, leadnak belőle egy szexmentes verziót is","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":false,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null},{"available":true,"c_guid":"7523e472-a0b6-4ddd-99f6-65a819023c77","c_author":"hvg.hu","category":"elet","description":"A rendőrség véletlennek minősítette a balesetet, és nem intézkedett a kutyával szemben. ","shortLead":"A rendőrség véletlennek minősítette a balesetet, és nem intézkedett a kutyával szemben. ","id":"20250312_pitbull-fegyver-veletlen-loves","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/7523e472-a0b6-4ddd-99f6-65a819023c77.jpg","index":0,"item":"908ee8ac-f7f4-4dfe-b051-38dad1faba93","keywords":null,"link":"/elet/20250312_pitbull-fegyver-veletlen-loves","timestamp":"2025. március. 12. 12:19","title":"A saját kutyája lőtt meg egy férfit Memphisben","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":false,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null},{"available":true,"c_guid":"ed99aa24-79fa-4f27-8d0a-3cb7f46992c7","c_author":"HVG","category":"vilag","description":"Megállapodtak a vitás kérdésekről, már csak alá kell írni a békeszerződést.","shortLead":"Megállapodtak a vitás kérdésekről, már csak alá kell írni a békeszerződést.","id":"20250313_azerbajdzsan-ormenyorszag-beketargyalas-lezarult-ebx","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/ed99aa24-79fa-4f27-8d0a-3cb7f46992c7.jpg","index":0,"item":"917cfd12-4c64-4196-b844-324f0551078a","keywords":null,"link":"/vilag/20250313_azerbajdzsan-ormenyorszag-beketargyalas-lezarult-ebx","timestamp":"2025. március. 13. 18:39","title":"Lezárultak a béketárgyalások Azerbajdzsán és Örményország közt","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":false,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null}]
A MÁV-Start szerint érvénytelen az a vonatjegy, amit az online jegyértékesítő rendszerben – néhány okos gombnyomással – fizetés nélkül generálhat magának bárki. A kalauzok kezében lévő gépi revizor ugyanis jelzi, hogy ott valami nem stimmel. Bár ilyesmi hiba rendszerben hagyása nem elegáns, de tényleg nem megbocsáthatatlan bűn. Az viszont már komolyabb problémának tűnik, hogy a rendszer tömeges adatlopásra is lehetőséget ad.
Ember legyen a talpán, aki segíteni tud a Magyar Államvasutaknak. Mi tucatszor próbálkoztunk ezzel pénteken: azért hívtuk a MÁV sajtóügyeletének és informatikai szolgáltató részlegének telefonszámait, hogy tájékoztassuk őket egy kritikus hibáról. Hiába, az ügyeletes nem vette fel, a MÁV Szolgáltatóközpont Zrt. informatikai részlegén pedig a jó öreg felveszem-leteszem módszerrel adták tudtunkra, hogy nem érdekli őket, mit akar a telefonáló. Pedig érdekes hírrel szolgáltunk volna. Pénteken ugyanis egy olvasó eljuttatott hozzánk egy videót, ami bemutatja, hogyan lehet pofonegyszerű módon átverni a MÁV-Start internetes jegyértékesítő rendszerét, és egyetlen jegy kifizetése után lényegében korlátlanul használható “bérletet” kreálni magunknak.
Olvasónk videós használati utasítása szerint előbb valódi pénzzel, valódi e-vonatjegyet kell vásárolnunk, mégpedig arra a viszonylatra, melyen később is utazni tervezünk. A fizetési folyamat közben minimális számítástechnikai ismerettel kinyerhető a felületről háromféle azonosító: az egyik magát a belépett felhasználót azonosítja, a másik szám az adott tranzakciót jelöli, a harmadikból generálódnak a jegy adatai (érvényesség, viszonylat satöbbi).
MTI / Máthé Zoltán
A pontos módszertant itt és most nem tárjuk ország-világ elé, de a lényege az, hogy a három azonosítóval zsonglőrködve egy ugyanolyan viszonylatra, de másik napra szóló vonatjegyet “adhat ki magának” az, aki szemfüles – a következő vásárlás utolsó előtti lépésében, pont mielőtt fizetne a rendeléséért. Aki máshogy zsonglőrködik, az pedig ugyanígy letöltheti más utazók valódi és általuk valóban kifizetett vonatjegyét magának.
Hogy a hiba mióta van a MÁV-Start eTicker rendszerében, azt nem tudni. Olvasónk állítja, idén februárban már találkozott vele, sőt február 17-én jelentette is azt a MÁV-nak. Választ nem kapott, így egy héttel később ismét jelzett. De válasz azóta sem érkezett – a rést pedig még mindig tárva-nyitva van a webes e-vonatjegyes felületen. Pedig azóta már – vélhetően nem is egyszer – frissítettek a szoftveren, a weboldal forráskódjából ugyanis kiderül, hogy jelenleg a v1.09.90 számú build (verzió) éles, melynél 2019.06.27 04:30 időbélyegző szerepel.
Ingyenjegy örök életre? Nem ez a gond
Az biztos, hogy az online jegyértékesítési felület biztonsági rendszere nem az igazi: valóban engedi úgy e-vonatjegy generálását (.pdf fájlba történő kinyomtatását), hogy előtte nem “kérdez vissza” az adatbázisnál, fizetve van-e a tétel. Ez a jelenség valóban fennáll és kijelenthetjük: hiba. Sőt, a trükkös módszerrel generált jegyvásárlás ténye a személyes fiók “Korábbi vásárlások” pontjába is megjelenik, tehát a jegyrendszer egy része egészen biztosan úgy véli, hogy valóban megvásároltunk valamit.
MÁV
Fontos ugyanakkor, hogy ez nem jelenti azt, hogy a hibát kihasználva valóban korlátlan számú utazásra jogosíthatja magát az ember. Ugyanis önmagában az kevés, ha valaki egy ránézésre aznap és azon a viszonylaton érvényes jegyet lobogtat kinyomtatva vagy telefonja képernyőjén. A jegyvizsgálók ugyanis nem szemrevételezéssel ellenőrzik a jegyet, hanem a QR-kód leolvasásával. A jegyár beérkezésének hiányában a kalauzoknak érvénytelen menetjegyet mutat vagy más hibaüzenetet dob a kézi konzol – az Indexnek még a péntek délutáni szieszta előtt sikerült elérnie a MÁV-ot, és akkor ezt válaszolták.
Akinek adat kell, az szán rá időt
Az viszont mindenképpen nagy gond, hogy egyetlen webcím és néhány azonosító variálásával úgy lehet zsonglőrködni, hogy ha akarunk, más emberek vasúti menetjegyeihez is hozzáférhetünk. Ezek teljesen szabályosan megvásárolt és kifizetett jegyek, tehát ezeket garantáltan elfogadja a jegyvizsgáló. Aki ha slendrián, és nem kéri valamilyen igazolvány felmutatását a jegy mellé – ahogy ilyen a cikk szerzőjével rendszeresen történik –, nem fog rájönni, hogy a menetjegy más nevére szól. Így aztán nem egyszerű módon, de megfelelő számú próbálkozással bárki “ellophatja” más jegyét, melyet némi szerencsével ténylegesen felhasználhat ingyenes utazásokra.
Forrásunk rámutatott, természetesen nem az a veszély áll fenn, hogy valaki kézzel elkezdi sorra begépelgetni a különféle azonosítókat. Ám némi programozói tudással egy nagyon egyszerű, "10 soros" szkriptet (programkódot) kell csak megírni, ami szépen sorban próbálgatja a számokat. Amikor megfelelő kombinációt talál, akkor azt kimenti – megfelelő számítási teljesítmény esetén néhány óra, vagy legfeljebb néhány nap alatt alighanem az összes olyan ember néhány adatához hozzá lehet jutni, aki valaha e-vonatjegyet vásárolt.
MTI / MTVA / Jászai Csaba
Ezt az teszi lehetővé – hívta fel a figyelmet forrásunk –, hogy a MÁV rendszere nem ellenőrzi, hogy az adott webcímet lekérő felhasználó van-e bejelentkezve – ha valaki be van jelentkezve, az kontrollálatlanul mindenki más jegyéhez is hozzáfér. Teszteltük, működik: forrásunk saját fiókjával volt bejelentkezve, és minden további nélkül elérte és letöltötte az általunk saját fiókunkkal valóban megvásárolt, kifizetett jegyet.
Az illetéktelen próbálkozó így megtudhatja mások nevével kombinált születési idejét és kedvezményre való jogosultságát is, ez utóbbiból pedig már az illető egészségügyi állapotára (pl. fogyatékosságára) is következtethet. Ezek pedig már lehetőséget adnak a személyes adattal történő visszaélések elkövetésére, például egy név és egy születési dátum birtokában már lehetőség van social engineeringre, azaz pszichológiai manipulációra, mellyel aztán más információkat csalunk ki tőlük – például a közösségi médiában, telefonon vagy e-mailben. Forrásunk szerint akinek adat kell, annak van ideje arra, hogy megszerezze.
A profi megfigyelést végző rosszindulatú hackerek vagy szolgálatok pedig azt is könnyen kibányászhatják így, hogy ki, mikor, merre utazott. Aki pedig elég időt szán rá, az az összes adatot kinyerve a dark weben is árulhatja az adatbázist.
De ha nem is csinál ezekkel az adatokkal senki semmit, akkor is ütközik a GDPR uniós adatvédelmi irányelvben foglaltakkal, hogy ilyen egyszerűen ki lehet nyerni az összes említett információt.
Olvasónk február tizenhetedikei bejelentéseiben éppen ez utóbbi, adatvédelmi gondokra hivatkozva hangsúlyozottan kérte a MÁV-tól, hogy tájékoztassák a nyilvánosságot, és a hiba elhárításáig függesszék fel az online jegyértékesítési rendszer működését. Ezek közül egyik lépésre sem került sor. Ma július ötödike van.