Leading security researchers have c

Leading security researchers have called on eBay to take immediate action over dangerous listings, as the problem continues to put users at risk.

The BBC has now identified more than 100 listings that had been exploited to trick customers into handing over personal data.

Over the weekend, readers got in touch with the BBC, saying they had attempted to warn eBay about the problem.

The company said it would "continue to review all site features and content".

The BBC has found that:

Innocent user accounts were hijacked in order to place the fake listings. Many of the accounts had 100% positive feedback, and had sold hundreds of items.
One victim who had his account hijacked told the BBC he was locked out of his account - and later billed "around £35" by eBay to cover seller's fees for items he had not auctioned.
When customers clicked on a listing that had been compromised, they were brought to a sophisticated, official-looking site that asked victims to log in and share bank account details.
The types of items used to target victims ranged from smartphones and televisions to hot tubs and clothing.
The vulnerability centres around users' ability to place custom Javascript and Flash content into their listings pages.

Often sellers will use this method to make their pages look more exciting, with animations or other eye-catching techniques.

But use of Javascript and Flash, eBay acknowledged, significantly raised the likelihood that malicious code could be included within the site's pages - due to a hacking technique known as cross-site scripting (XSS).

It meant users clicking on eBay listings that appeared legitimate were being automatically re-directed to harmful websites designed to steal user information, including credit card details.

"The summary is that it is exceptionally dodgy and redirecting the user to a nasty web page with some really suspect scripts," said James Lyne from the security firm Sophos.

"At present we can't get our hands on the end payload, so can't be sure of the attackers complete motive, but it is clear there are still nasty malicious redirects on the eBay site."

The problem has affected the site since at least February, the BBC has confirmed - although some experts say it has been an issue for more than a year.

Kết quả (Việt) 1:

An ninh hàng đầu thế giới các nhà nghiên cứu đã gọi là trên eBay để có hành động ngay lập tức trên danh sách nguy hiểm, như vấn đề tiếp tục đưa người sử dụng có nguy cơ.BBC bây giờ đã xác định danh sách hơn 100 đã được khai thác để lừa khách vào bàn giao dữ liệu cá nhân.Cuối tuần, độc giả đã liên lạc với BBC, nói rằng họ đã cố gắng để cảnh báo eBay về vấn đề.Công ty cho biết nó sẽ "tiếp tục xem xét tất cả các tính năng trang web và nội dung".Đài BBC đã thấy rằng:Tài khoản người dùng vô tội đã bị tấn công để đặt danh sách giả. Nhiều người trong số các tài khoản đã có 100% phản hồi tích cực, và đã bán được hàng trăm mặt hàng.Một trong những nạn nhân đã bị tấn công tài khoản của mình nói với BBC ông đã bị khóa ra khỏi tài khoản của mình - và sau đó lập hóa đơn "khoảng £35" bởi eBay để trang trải chi phí của người bán cho mục ông không có bán đấu giá.Khi khách hàng nhấp vào một danh sách mà đã bị xâm phạm, họ đã được đưa đến một trang web phức tạp, chính thức, tìm kiếm yêu cầu nạn nhân để đăng nhập và chia sẻ chi tiết tài khoản ngân hàng.Các loại mặt hàng được sử dụng cho mục tiêu nạn nhân trải dài từ điện thoại thông minh và ti vi với bể sục và quần áo.Các lỗ hổng Trung tâm xung quanh thành phố người dùng có thể đặt tuỳ chỉnh Javascript và Flash được tốt nội dung vào trang danh sách của họ.Thường người bán hàng sẽ sử dụng phương pháp này để làm cho trang của họ nhìn thú vị hơn, với hình ảnh động hoặc khác kỹ thuật bắt mắt.Nhưng sử dụng Javascript và Flash, eBay thừa nhận, nâng lên đáng kể khả năng mã độc hại có thể được bao gồm trong các trang của trang web - do một kỹ thuật hack được gọi là cross-site scripting (XSS).Nó có nghĩa là người dùng nhấp vào bảng liệt kê eBay xuất hiện hợp pháp đã được tự động tái định hướng đến các trang web độc hại được thiết kế để ăn cắp thông tin người dùng, bao gồm chi tiết thẻ tín dụng."Tóm tắt là rằng nó là đặc biệt tinh ranh và chuyển hướng người dùng đến một trang web khó chịu với một số thực sự nghi ngờ kịch bản," ông James Lyne từ công ty an ninh Sophos."Hiện nay chúng tôi không thể có được bàn tay của chúng tôi vào cuối tải trọng, vì vậy không thể chắc chắn của kẻ tấn công động cơ hoàn thành, nhưng nó là rõ ràng có là vẫn còn khó chịu độc hại chuyển hướng trên trang web eBay."Vấn đề có ảnh hưởng đến các trang web kể từ lúc ít nhất là tháng hai, đài BBC đã khẳng định – mặc dù một số chuyên gia nói rằng nó đã là một vấn đề cho hơn một năm.

Kết quả (Việt) 2:

Các nhà nghiên cứu an ninh hàng đầu đã kêu gọi eBay để có hành động ngay lập tức trong danh sách nguy hiểm, là vấn đề tiếp tục đặt người sử dụng có nguy cơ. BBC đã xác định hơn 100 danh sách đã được khai thác để lừa khách hàng vào bàn giao dữ liệu cá nhân. Cuối tuần qua , độc giả đã liên lạc với đài BBC, nói rằng họ đã cố gắng để cảnh báo cho eBay về vấn đề này. Công ty này cho biết họ sẽ "tiếp tục xem xét tất cả các tính năng và nội dung trang web". Phóng viên BBC đã phát hiện ra rằng: tài khoản người dùng vô tội đã bị bắt cóc để đặt danh sách giả. Nhiều người trong số các tài khoản đã có 100% phản hồi tích cực, và đã bán hàng trăm mặt hàng. Theo một nạn nhân đã có tài khoản của mình bị bắt cóc nói với BBC ông đã bị khóa ra khỏi tài khoản của mình - và sau đó tính tiền "khoảng £ 35" eBay để trang trải chi phí của người bán cho mục ông đã không bán đấu giá. Khi khách hàng nhấp vào một danh sách đã bị xâm nhập, họ được đưa đến một trang web phức tạp, chính thức nhìn mà hỏi nạn nhân để đăng nhập và chia sẻ thông tin chi tiết tài khoản ngân hàng. Các loại mặt hàng được sử dụng để nhắm mục tiêu nạn nhân dao động từ điện thoại thông minh và TV với bồn tắm nước nóng và quần áo. Các trung tâm dễ bị tổn thương xung quanh khả năng đặt tùy chỉnh Javascript và Flash nội dung vào danh sách của họ trang. người sử dụng thường người bán hàng sẽ sử dụng phương pháp này để làm cho các trang của họ trông thú vị hơn, với hình ảnh động hoặc các kỹ thuật bắt mắt khác . Nhưng sử dụng Javascript và Flash, eBay thừa nhận, tăng đáng kể khả năng mã độc hại có thể được bao gồm trong các trang của trang web -. do một kỹ thuật hack được gọi là cross-site scripting (XSS) Nó có nghĩa là người dùng nhấp vào danh sách eBay xuất hiện hợp pháp đã được tự động tái định hướng đến các trang web độc hại được thiết kế để ăn cắp thông tin người dùng, bao gồm chi tiết thẻ tín dụng. "Bản tóm tắt là nó là đặc biệt tinh ranh và chuyển hướng người dùng đến một trang web khó chịu với một số kịch bản thực sự nghi ngờ," James Lyne cho biết từ công ty bảo mật Sophos. "Hiện nay chúng ta không thể có được bàn tay của chúng tôi trên tải trọng cuối cùng, vì vậy không thể chắc chắn về những kẻ tấn công động cơ hoàn toàn, nhưng rõ ràng có những chuyển hướng độc hại vẫn còn khó chịu trên trang web eBay." Vấn đề đã ảnh hưởng đến các trang web ít nhất là từ tháng Hai, BBC đã xác nhận - mặc dù một số chuyên gia cho rằng nó là một vấn đề trong hơn một năm.