Szeretne azonnal értesülni a legfontosabb hírekről?
Az értesítések bekapcsolásához kattintson a "Kérem" gombra!
Az értesítés funkció az alábbi böngészőkben érhető el: Chrome 61+, Firefox 57+, Safari 10.1+
Köszönjük, hogy feliratkozott!
Hoppá!
Valami hiba történt a feliratkozás során, az oldal frissítése után kérjük próbálja meg újra a fejlécben található csengő ikonnal.
Már feliratkozott!
A böngészőjében az értesítés funkció le van tiltva!
Ha értesítéseket szeretne, kérjük engedélyezze a böngésző beállításai között, majd az oldal frissítése után kérjük próbálja meg újra a fejlécben található csengő ikonnal.
[{"available":true,"c_guid":"cc061018-ef25-4c49-a409-289fb824c78a","c_author":"hvg.hu/MTI","category":"elet","description":"A hét elején éjjelente még fagy is lehet, aztán érkezik a felmelegedés.","shortLead":"A hét elején éjjelente még fagy is lehet, aztán érkezik a felmelegedés.","id":"20250302_tavasz-idojaras-20-fok","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/cc061018-ef25-4c49-a409-289fb824c78a.jpg","index":0,"item":"ca8c93fe-9f61-4258-9f8c-d5c32b68e1de","keywords":null,"link":"/elet/20250302_tavasz-idojaras-20-fok","timestamp":"2025. március. 02. 16:46","title":"Jön a tavaszi időjárás, a jövő héten már 20 fok is lehet","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":false,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null},{"available":true,"c_guid":"82accb94-4471-4099-a9c0-6770d3c630b8","c_author":"HVG","category":"gazdasag.ingatlan","description":"Pedig a lakásdrágulás sem állt meg.","shortLead":"Pedig a lakásdrágulás sem állt meg.","id":"20250303_Porog-a-lakaspiac-ugy-no-a-kereslet-hogy-azzal-a-kinalat-nem-bir-lepest-tartani-es-az-adasvetelek-is-kilottek","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/82accb94-4471-4099-a9c0-6770d3c630b8.jpg","index":0,"item":"255b19d0-1d7a-403f-98f9-76fafa221770","keywords":null,"link":"/ingatlan/20250303_Porog-a-lakaspiac-ugy-no-a-kereslet-hogy-azzal-a-kinalat-nem-bir-lepest-tartani-es-az-adasvetelek-is-kilottek","timestamp":"2025. március. 03. 13:31","title":"Pörög a lakáspiac: úgy nő a kereslet, hogy azzal a kínálat nem bír lépést tartani, és az adásvételek is kilőttek","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":false,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null},{"available":true,"c_guid":"3fb1dd0f-b4df-469a-9f3f-3c2f4592bcc7","c_author":"HVG","category":"360","description":"Nagy Péter István és Vinnai András feldolgozása nem kicsit forgatta föl Shakespeare „majdnem azonos című színművét”. Ajánló.","shortLead":"Nagy Péter István és Vinnai András feldolgozása nem kicsit forgatta föl Shakespeare „majdnem azonos című színművét”...","id":"20250302_Vinnai-Andras-Nagy-Peter-Istvan-Vizkereszt-vagy-amit-forgattok-shakespeare","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/3fb1dd0f-b4df-469a-9f3f-3c2f4592bcc7.jpg","index":0,"item":"710f1586-d45f-4e28-be64-847b451aef1c","keywords":null,"link":"/360/20250302_Vinnai-Andras-Nagy-Peter-Istvan-Vizkereszt-vagy-amit-forgattok-shakespeare","timestamp":"2025. március. 02. 16:15","title":"Maffiózó dealerek és alpári vágy – Vízkereszt, vagy amit forgattok","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":true,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null},{"available":true,"c_guid":"acf5cae2-f7cc-4024-9e05-16e533d0e7e4","c_author":"hvg.hu","category":"itthon","description":"Magyar Levente szarajevói látogatása elmaradt, viszont Banja Lukába, a boszniai szerbek székhelyére eljutott, ahol gyorsan el is mondta, hogy nem Milorad Dodik, hanem az ukrajnai béke ellen tevékenykedő nyugati kormányok akarják destabilizálni az országot.","shortLead":"Magyar Levente szarajevói látogatása elmaradt, viszont Banja Lukába, a boszniai szerbek székhelyére eljutott, ahol...","id":"20250303_kulugyi-allamtitkar-magyar-levente-bosznia-dodik","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/acf5cae2-f7cc-4024-9e05-16e533d0e7e4.jpg","index":0,"item":"e1156d8b-5223-4a21-a3d8-10c780501687","keywords":null,"link":"/itthon/20250303_kulugyi-allamtitkar-magyar-levente-bosznia-dodik","timestamp":"2025. március. 03. 20:41","title":"A magyar külügyi államtitkár gépét nem engedte be az országba a bosnyák kormány","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":false,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null},{"available":true,"c_guid":"d867227b-6196-459c-85a6-2a6f012d7f06","c_author":"Szász Lilla","category":"360","description":"A kubai forradalom szociális vívmányai eltűnnek, éppen vagy víz nincs, vagy áram, vagy net, vagy egyik sem. Miért akar bárki itt maradni? Szász Lilla riportja azokról, akik kiszabadulnának a rendszer kötöttségei alól, mégsem hagyják el az országot.","shortLead":"A kubai forradalom szociális vívmányai eltűnnek, éppen vagy víz nincs, vagy áram, vagy net, vagy egyik sem. Miért akar...","id":"20250302_szasz-lilla-kuba-eltunnek-a-forradalom-vivmanyai","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/d867227b-6196-459c-85a6-2a6f012d7f06.jpg","index":0,"item":"33025fa7-2136-4256-9a46-62db366aa719","keywords":null,"link":"/360/20250302_szasz-lilla-kuba-eltunnek-a-forradalom-vivmanyai","timestamp":"2025. március. 02. 17:00","title":"Ilyen az, amikor egy ország nem működik - riport Kubából","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":true,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null},{"available":true,"c_guid":"2477f683-cffb-456e-8935-20592cc9e634","c_author":"HVG","category":"itthon","description":"A külügyminiszter emiatt levelet küldött Kaja Kallasnak, amiben figyelmeztet, hogy a magyar kormány ezért az ukránokon verheti majd el a port.","shortLead":"A külügyminiszter emiatt levelet küldött Kaja Kallasnak, amiben figyelmeztet, hogy a magyar kormány ezért az ukránokon...","id":"20250302_Szijjarto-szerint-az-EU-megsertette-a-Magyarorszag-fele-vallalt-energiabiztonsagi-garanciait","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/2477f683-cffb-456e-8935-20592cc9e634.jpg","index":0,"item":"0e4d3cc8-deec-4c93-beec-32a574f250c1","keywords":null,"link":"/itthon/20250302_Szijjarto-szerint-az-EU-megsertette-a-Magyarorszag-fele-vallalt-energiabiztonsagi-garanciait","timestamp":"2025. március. 02. 17:20","title":"Szijjártó szerint az EU megsértette a Magyarország felé vállalt energiabiztonsági garanciáit","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":false,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null},{"available":true,"c_guid":"29496dd0-889e-4292-80c2-415717ff1c2b","c_author":"Révész Sándor","category":"360","description":"A progresszív ellenzéki populizmust ki kellene használni. Azt kell mondani: ez a galád, aljas, tolvaj kormány majd annyi pénzt akar adni a gazdagoknak, mint a legnehezebben élőknek, mi azonban ezt a gyalázatot nem tűrjük. Vélemény.","shortLead":"A progresszív ellenzéki populizmust ki kellene használni. Azt kell mondani: ez a galád, aljas, tolvaj kormány majd...","id":"20250303_revesz-sandor-A-kormany-ellen-fordithato-a-valasztasok-elotti-igeretcunami","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/29496dd0-889e-4292-80c2-415717ff1c2b.jpg","index":0,"item":"ced50eb7-d70d-4ac3-8dca-6543ed477834","keywords":null,"link":"/360/20250303_revesz-sandor-A-kormany-ellen-fordithato-a-valasztasok-elotti-igeretcunami","timestamp":"2025. március. 03. 10:30","title":"Révész Sándor: A kormány ellen fordítható a választások előtti ígéretcunami","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":true,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null},{"available":true,"c_guid":"dd8d4377-66ad-4921-826f-477ae0754483","c_author":"hvg.hu","category":"vilag","description":"A volt lengyel államfő által is aláírt levél szerint az Ukrajnának adott 1994-es biztonsági garanciák értelmében Washingtonnak feltételek nélkül kellene támogatnia Kijevet.","shortLead":"A volt lengyel államfő által is aláírt levél szerint az Ukrajnának adott 1994-es biztonsági garanciák értelmében...","id":"20250303_walesa-trump-level-zelenszkij-ukrajna","image":"https://img.hvg.hu/Img/ffdb5e3a-e632-4abc-b367-3d9b3bb5573b/dd8d4377-66ad-4921-826f-477ae0754483.jpg","index":0,"item":"50f0128c-3907-4bd4-9288-798357802830","keywords":null,"link":"/vilag/20250303_walesa-trump-level-zelenszkij-ukrajna","timestamp":"2025. március. 03. 17:22","title":"Lech Walesa: Sértő, hogy Trump hálát és tisztelet vár az Ukrajnának nyújtott támogatásért","trackingCode":"RELATED","c_isbrandchannel":false,"c_isbrandcontent":false,"c_isbrandstory":false,"c_isbrandcontentorbrandstory":false,"c_isbranded":false,"c_ishvg360article":false,"c_partnername":null,"c_partnerlogo":"00000000-0000-0000-0000-000000000000","c_partnertag":null}]
A MÁV-Start szerint érvénytelen az a vonatjegy, amit az online jegyértékesítő rendszerben – néhány okos gombnyomással – fizetés nélkül generálhat magának bárki. A kalauzok kezében lévő gépi revizor ugyanis jelzi, hogy ott valami nem stimmel. Bár ilyesmi hiba rendszerben hagyása nem elegáns, de tényleg nem megbocsáthatatlan bűn. Az viszont már komolyabb problémának tűnik, hogy a rendszer tömeges adatlopásra is lehetőséget ad.
Ember legyen a talpán, aki segíteni tud a Magyar Államvasutaknak. Mi tucatszor próbálkoztunk ezzel pénteken: azért hívtuk a MÁV sajtóügyeletének és informatikai szolgáltató részlegének telefonszámait, hogy tájékoztassuk őket egy kritikus hibáról. Hiába, az ügyeletes nem vette fel, a MÁV Szolgáltatóközpont Zrt. informatikai részlegén pedig a jó öreg felveszem-leteszem módszerrel adták tudtunkra, hogy nem érdekli őket, mit akar a telefonáló. Pedig érdekes hírrel szolgáltunk volna. Pénteken ugyanis egy olvasó eljuttatott hozzánk egy videót, ami bemutatja, hogyan lehet pofonegyszerű módon átverni a MÁV-Start internetes jegyértékesítő rendszerét, és egyetlen jegy kifizetése után lényegében korlátlanul használható “bérletet” kreálni magunknak.
Olvasónk videós használati utasítása szerint előbb valódi pénzzel, valódi e-vonatjegyet kell vásárolnunk, mégpedig arra a viszonylatra, melyen később is utazni tervezünk. A fizetési folyamat közben minimális számítástechnikai ismerettel kinyerhető a felületről háromféle azonosító: az egyik magát a belépett felhasználót azonosítja, a másik szám az adott tranzakciót jelöli, a harmadikból generálódnak a jegy adatai (érvényesség, viszonylat satöbbi).
MTI / Máthé Zoltán
A pontos módszertant itt és most nem tárjuk ország-világ elé, de a lényege az, hogy a három azonosítóval zsonglőrködve egy ugyanolyan viszonylatra, de másik napra szóló vonatjegyet “adhat ki magának” az, aki szemfüles – a következő vásárlás utolsó előtti lépésében, pont mielőtt fizetne a rendeléséért. Aki máshogy zsonglőrködik, az pedig ugyanígy letöltheti más utazók valódi és általuk valóban kifizetett vonatjegyét magának.
Hogy a hiba mióta van a MÁV-Start eTicker rendszerében, azt nem tudni. Olvasónk állítja, idén februárban már találkozott vele, sőt február 17-én jelentette is azt a MÁV-nak. Választ nem kapott, így egy héttel később ismét jelzett. De válasz azóta sem érkezett – a rést pedig még mindig tárva-nyitva van a webes e-vonatjegyes felületen. Pedig azóta már – vélhetően nem is egyszer – frissítettek a szoftveren, a weboldal forráskódjából ugyanis kiderül, hogy jelenleg a v1.09.90 számú build (verzió) éles, melynél 2019.06.27 04:30 időbélyegző szerepel.
Ingyenjegy örök életre? Nem ez a gond
Az biztos, hogy az online jegyértékesítési felület biztonsági rendszere nem az igazi: valóban engedi úgy e-vonatjegy generálását (.pdf fájlba történő kinyomtatását), hogy előtte nem “kérdez vissza” az adatbázisnál, fizetve van-e a tétel. Ez a jelenség valóban fennáll és kijelenthetjük: hiba. Sőt, a trükkös módszerrel generált jegyvásárlás ténye a személyes fiók “Korábbi vásárlások” pontjába is megjelenik, tehát a jegyrendszer egy része egészen biztosan úgy véli, hogy valóban megvásároltunk valamit.
MÁV
Fontos ugyanakkor, hogy ez nem jelenti azt, hogy a hibát kihasználva valóban korlátlan számú utazásra jogosíthatja magát az ember. Ugyanis önmagában az kevés, ha valaki egy ránézésre aznap és azon a viszonylaton érvényes jegyet lobogtat kinyomtatva vagy telefonja képernyőjén. A jegyvizsgálók ugyanis nem szemrevételezéssel ellenőrzik a jegyet, hanem a QR-kód leolvasásával. A jegyár beérkezésének hiányában a kalauzoknak érvénytelen menetjegyet mutat vagy más hibaüzenetet dob a kézi konzol – az Indexnek még a péntek délutáni szieszta előtt sikerült elérnie a MÁV-ot, és akkor ezt válaszolták.
Akinek adat kell, az szán rá időt
Az viszont mindenképpen nagy gond, hogy egyetlen webcím és néhány azonosító variálásával úgy lehet zsonglőrködni, hogy ha akarunk, más emberek vasúti menetjegyeihez is hozzáférhetünk. Ezek teljesen szabályosan megvásárolt és kifizetett jegyek, tehát ezeket garantáltan elfogadja a jegyvizsgáló. Aki ha slendrián, és nem kéri valamilyen igazolvány felmutatását a jegy mellé – ahogy ilyen a cikk szerzőjével rendszeresen történik –, nem fog rájönni, hogy a menetjegy más nevére szól. Így aztán nem egyszerű módon, de megfelelő számú próbálkozással bárki “ellophatja” más jegyét, melyet némi szerencsével ténylegesen felhasználhat ingyenes utazásokra.
Forrásunk rámutatott, természetesen nem az a veszély áll fenn, hogy valaki kézzel elkezdi sorra begépelgetni a különféle azonosítókat. Ám némi programozói tudással egy nagyon egyszerű, "10 soros" szkriptet (programkódot) kell csak megírni, ami szépen sorban próbálgatja a számokat. Amikor megfelelő kombinációt talál, akkor azt kimenti – megfelelő számítási teljesítmény esetén néhány óra, vagy legfeljebb néhány nap alatt alighanem az összes olyan ember néhány adatához hozzá lehet jutni, aki valaha e-vonatjegyet vásárolt.
MTI / MTVA / Jászai Csaba
Ezt az teszi lehetővé – hívta fel a figyelmet forrásunk –, hogy a MÁV rendszere nem ellenőrzi, hogy az adott webcímet lekérő felhasználó van-e bejelentkezve – ha valaki be van jelentkezve, az kontrollálatlanul mindenki más jegyéhez is hozzáfér. Teszteltük, működik: forrásunk saját fiókjával volt bejelentkezve, és minden további nélkül elérte és letöltötte az általunk saját fiókunkkal valóban megvásárolt, kifizetett jegyet.
Az illetéktelen próbálkozó így megtudhatja mások nevével kombinált születési idejét és kedvezményre való jogosultságát is, ez utóbbiból pedig már az illető egészségügyi állapotára (pl. fogyatékosságára) is következtethet. Ezek pedig már lehetőséget adnak a személyes adattal történő visszaélések elkövetésére, például egy név és egy születési dátum birtokában már lehetőség van social engineeringre, azaz pszichológiai manipulációra, mellyel aztán más információkat csalunk ki tőlük – például a közösségi médiában, telefonon vagy e-mailben. Forrásunk szerint akinek adat kell, annak van ideje arra, hogy megszerezze.
A profi megfigyelést végző rosszindulatú hackerek vagy szolgálatok pedig azt is könnyen kibányászhatják így, hogy ki, mikor, merre utazott. Aki pedig elég időt szán rá, az az összes adatot kinyerve a dark weben is árulhatja az adatbázist.
De ha nem is csinál ezekkel az adatokkal senki semmit, akkor is ütközik a GDPR uniós adatvédelmi irányelvben foglaltakkal, hogy ilyen egyszerűen ki lehet nyerni az összes említett információt.
Olvasónk február tizenhetedikei bejelentéseiben éppen ez utóbbi, adatvédelmi gondokra hivatkozva hangsúlyozottan kérte a MÁV-tól, hogy tájékoztassák a nyilvánosságot, és a hiba elhárításáig függesszék fel az online jegyértékesítési rendszer működését. Ezek közül egyik lépésre sem került sor. Ma július ötödike van.
Trump hivatala felkérte a pénzügyminisztériumot és a külügyi tárcát, hogy állítsák össze azon szankciók listáját, amikből az amerikaiak a diplomáciai és a gazdasági kapcsolatok felélesztése érdekében engedhetnek.