Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Un ricercatore ha utilizzato un assistente AI per trovare una vulnerabilità di SQL Injection in Front Gate Tickets, permettendo l'accesso gratuito a festival musicali come Lollapalooza e Bonnaroo. La falla è stata corretta
Un assistente basato sull’intelligenza artificiale ha aiutato un ricercatore a eludere le misure di sicurezza di una piattaforma di biglietteria e a dimostrare come una singola falla potesse sbloccare l’accesso gratuito a quasi tutti i principali festival musicali negli Stati Uniti.
L’hacker etico Ian Carroll ha riferito che Claude di Anthropic ha contribuito a trovare e sfruttare una vulnerabilità di SQL injection in Front Gate Tickets, il servizio di biglietteria di Live Nation per Lollapalooza, Bonnaroo, Austin City Limits, Electric Daisy Carnival e South by Southwest.
Secondo Carroll, la vulnerabilità risiedeva nell’API del dispositivo Front Gate Tickets. Il parametro deviceUID veniva incluso nelle query del database senza un’adeguata convalida, consentendo a un utente esterno di manomettere le query SQL. Inizialmente, i tentativi del ricercatore furono bloccati da un Web Application Firewall, ma Carroll si rivolse a Claude Opus 4.7 chiedendo una soluzione alternativa.
Secondo il ricercatore, il modello ha rilevato una vulnerabilità nella sicurezza: il filtro controllava solo lo strato più esterno della query SQL. Dopo aver inserito la query dannosa in una sottoquery annidata, il filtro di sicurezza ha permesso il passaggio del payload, consentendo al ricercatore di accedere a un database con oltre 500 tabelle.
I dati esposti contenevano account di dipendenti e token di reimpostazione della password attivi. Utilizzando questi token, Carroll è stato in grado di ottenere i diritti di amministratore e, in teoria, di emettere biglietti per qualsiasi evento organizzato tramite Front Gate Tickets. Tra le opzioni disponibili, il ricercatore ha trovato un biglietto Platinum per il Bonnaroo del valore di circa 4.000 dollari, che poteva essere creato in quantità illimitate.
Nella sua analisi, Carroll ha sottolineato di non aver emesso né utilizzato biglietti reali, ma di aver smesso di farlo dopo aver confermato il problema. Secondo il ricercatore, una singola richiesta API pubblica era sufficiente per ottenere l’accesso amministrativo a EDC, Bonnaroo e altri festival presenti sulla piattaforma, visualizzare i dati dei clienti, le credenziali interne e impossessarsi degli account tramite token di reimpostazione della password validi.
Front Gate Tickets ha ricevuto la segnalazione il 25 aprile e ha corretto la vulnerabilità il giorno successivo. L’azienda ha dichiarato di non aver trovato prove di precedenti violazioni o emissione di biglietti falsi. I rappresentanti di Front Gate hanno inoltre ridimensionato la stima dei potenziali danni: hanno affermato che i biglietti fraudolenti avrebbero lasciato una traccia nel registro di controllo, dopodiché l’azienda avrebbe potuto annullarli prima dell’accesso all’evento.
L’incidente ha evidenziato ancora una volta l’interesse degli hacker per i servizi di biglietteria e per l’intelligenza artificiale Nel maggio 2024, il gruppo ShinyHunters ha riferito di aver violato Ticketmaster, un altro prodotto di Live Nation, e di aver rubato i dati di 560 milioni di utenti da un fornitore di servizi cloud di terze parti. Gli hacker hanno chiesto un riscatto di 500.000 dollari e Live Nation ha confermato la violazione del database isolato del fornitore.
Inoltre, il problema del “dual-use” sta diventando serio in quanto attraverso l’utilizzo dell’intelligenza artificiale, i neo criminali informatici possono essere accelerati nelle loro attività malevole.
Sono ufficialmente aperte le adesioni al Program Sponsor della Red Hot Cyber Conference 2027, la sesta edizione dell’evento annuale gratuito promosso dalla community di Red Hot Cyber per diffondere cultura, competenze e consapevolezza sui temi della cybersecurity, dell’innovazione e delle tecnologie digitali. La Conference si terrà a Roma, martedì 18 e mercoledì 19 maggio 2027, presso l’Auditorium del Seraphicum, nel cuore del quartiere EUR, con una giornata dedicata ai workshop pratici e alle attività tecniche e una seconda giornata interamente dedicata alla conferenza.
Anche per il 2027, le aziende potranno scegliere di sostenere concretamente il progetto attraverso il Program Sponsor, partecipando alla crescita di un appuntamento che mette in relazione professionisti, aziende, istituzioni, studenti, ricercatori e appassionati di tecnologia. Il programma prevede la possibilità di aderire come Sponsor Sostenitore, una formula pensata per le aziende che desiderano essere tra le prime realtà a credere e contribuire alla realizzazione della nuova edizione, oppure attraverso i tre consueti livelli di sponsorizzazione Platinum, Gold e Silver. Ogni livello di sponsorizzazione acquistato, sarà accompagnato da un pacchetto Advertising, con l'opportunità di visibilità attraverso articoli, banner e contenuti all’interno del circuito editoriale di Red Hot Cyber.
Le aziende interessate a conoscere le formule disponibili, il Media Kit e tutte le opportunità previste dal Program Sponsor 2027 possono richiedere informazioni scrivendo a [email protected].