Bir müşteri kendini başkasının hesabında oturum açmış buldu

Üç neden, tek bir belirti

Bildirim neredeyse her zaman aynı sözlerle gelir: bir müşteri hesabında kendisine ait olmayan siparişler görüyor ya da hiç kimsenin girmediği bir teslimat adresi için şikâyet alıyorsunuz. İlk refleks, uzun süre benimki de dâhil, önbelleği suçlamaktır. Bazen gerçekten önbellektir. Her zaman değil ve bu fark, bundan sonra ne yapacağınızı tamamen değiştirir.

Aynı belirtiyi üreten üç ayrı neden vardır.

• Yanlış yapılandırılmış bir önbellek. Kişiselleştirilmiş bir sayfa — adın göründüğü bir başlık, bir sepet, bir hesap bloğu — bir müşterinin ziyareti sırasında önbelleğe alınmış ve olduğu gibi başka bir ziyaretçiye sunulmuştur. Görünen içerik yanlıştır ama oturumun kendisi doğrudur.
• Paylaşılan bir oturum. İki kişi aynı cihazda aynı tarayıcıyı kullanır: bir aile bilgisayarı, bir danışma bilgisayarı, mağazadaki bir tablet. Açık kalan oturum hiçbir zaman kapatılmamıştır.
• Gerçek bir kimlik doğrulama açığı. Sunucu oturumu gerçekten yanlış hesapla ilişkilendirmiştir. Bu artık bir görüntüleme sorunu değildir: hesap ele geçirmedir.

Gerçekten bir kimlik doğrulama açığı olduğunda

Bu tür açıkların en sık ortaya çıktığı yer sipariş akışıdır ve en hassas nokta hızlı ödemedir. Hızlı ödeme tam olarak adımları ortadan kaldırmak için vardır: müşteri bir düğmeden gelir, ödeme yöntemi bir kimlik sağlar ve mağaza saniyenin küçük bir diliminde bu siparişi hangi hesaba bağlayacağına karar etmek zorundadır. Kaldırılan her adım, başka bir yerde düzgün biçimde yeniden yapılması gereken bir doğrulamadır.

PrestaShop’un resmi ödeme modülü ps_checkout bu durumdan etkilendi. Express Checkout özelliğindeki eksik bir doğrulama, sessiz bir oturum açmaya ve dolayısıyla bir müşteri hesabının e-posta adresinden yola çıkılarak ele geçirilmesine imkân veriyordu. Açığın tanımlayıcısı CVE-2025-61922, CVSS puanı 9,1: ağ üzerinden istismar edilebilir, saldırı karmaşıklığı düşük, hiçbir ayrıcalık gerekmiyor, kullanıcı etkileşimi gerekmiyor. Düzeltmeler 16 Ekim 2025’te 4.4.1 ve 5.0.5 sürümleriyle yayınlandı.

Sessiz oturum açma ifadesini somutlaştırmakta yarar var. Mağaza, müşteri parolasını girmeden ve haberi olmadan onun adına bir oturum açar. Müşteri tarafında hiçbir şey olmaz: e-posta yok, onay isteği yok, hesabında görünür bir iz yok. Sorunun geç fark edilmesinin sebebi bu sessizliktir. Başarısız deneme yoktur, fark edilecek bir giriş hatası dizisi yoktur; yalnızca uzaktan bakıldığında son derece normal görünen bir oturum daha vardır.

Bir müşteri hesabı gerçekte neler barındırır

Bir hesabın, içine giren kişiye ne verdiği çoğu zaman hafife alınır. Bu yalnızca bir alışveriş geçmişi değildir.

• Eksiksiz sipariş geçmişi: ne alındığı, ne zaman, hangi tutarla, hangi adrese teslim edildiği.
• Adres defteri: posta adresleri, telefon numaraları, bazen bir iş adresi ve şirket adı.
• İletişim bilgileri: gerçek bir siparişten söz edilmesine imkân verdiği için, o müşteriye yönelik inandırıcı bir oltalama saldırısında doğrudan kullanılabilir.
• Ele geçirilen hesaptan sipariş verme imkânı; varsa sağlayıcı tarafında kayıtlı ödeme yöntemleriyle birlikte.

Bu son noktada temkinli davranıyorum, siz de davranmalısınız. Gerçekten yeniden kullanılabilir olanın ne olduğu tamamen ödeme sağlayıcısına ve kayıtlı ödeme yönteminin nasıl uygulandığına bağlıdır. Mağaza normalde kart numarasını saklamaz. Günlükler olmadan söyleyebileceğim şey neyin mümkün olduğudur; neyin fiilen yapıldığını söyleyemem.

Günlüklerin söyledikleri ve söylemeyecekleri

Bu açık için yayınlanan duyuru; gecikmeden güncellemeyi, kimlik doğrulama günlüklerini yeniden incelemeyi, etkilenmiş olabilecek müşterileri bilgilendirmeyi ve olağan dışı siparişleri ve hesap oluşturmalarını izlemeyi tavsiye ediyor. Uygulamada baktıklarım şunlardır.

• Öncesinde hiçbir giriş formu gönderimi bulunmayan başarılı oturum açmalar.
• Kısa bir aralıkta çok farklı iki bağlamdan aynı hesaba yapılan girişler.
• Bu tür bir girişin hemen ardından verilen siparişler.
• Bir siparişin izlediği e-posta, parola veya teslimat adresi değişiklikleri.
• Art arda yapılan ya da aynı adres kalıbı üzerine kurulmuş hesap oluşturmaları.

Bu günlükler olmadan bilemeyeceklerim ise şunlardır: kaç hesabın etkilendiği, tek bir müşterinin mi hedef alındığı yoksa mağazanın sistematik biçimde mi tarandığı, tam olarak hangi tarihten itibaren ve erişimin sipariş vermek dışında başka bir şey için kullanılıp kullanılmadığı. Barındırma tarafında çok kısa bir saklama süresi, bu soruları kalıcı olarak yanıtsız bırakabilir. Bunu, bir müşteri aradığı gün değil, ihtiyaç duymadan önce kontrol etmek gerekir.