אתר וואלה סובל מפרצת אבטחה המאפשרת לגנוב פרטים של גולשים, ואף לחשוף את פרטי כרטיסי האשראי שלהם ואת חשבונותיהם בשירות התשלומים באתר (וואלה פיי) - כך גילה רביב רז, מומחה אבטחה מחברת Applicure, המציעה כלי אבטחה שנועדו למנוע מבעיות כאלה להתרחש.

בעקבות פנייה שהתקבלה בסוף השבוע שעבר על ידי מקורב לרז, תיקנה וואלה חלק מהבעיה. ואולם בדיקות נוספות שנעשו לאחר קבלת תשובת החברה גילו כי היא עדיין לא פתרה את כל הבעיות. מוואלה נמסר כי היא ממשיכה לטפל בבעיה גם עתה.

לדברי רז, מדובר בפרצה מסוג XSS (SiteScriptingCross), המאפשרת להחדיר קוד חיצוני לדפים בוואלה. קוד זה מאפשר לבצע פעולות שונות, כמו גניבת פרטים (פישינג), שינוי פרטים וביצוע פעולות כספיות בתוך חשבון המשתמש.

כדי להשתמש בחשבון וואלה פיי יש צורך בתעודת זהות, בנוסף לשם משתמש וסיסמה, אך במקרים מסוימים ניתן לעקוף את המכשול הזה. אחד ממוקדי הפריצה הוא שירות המייל של וואלה. לדברי רז, הדבר נבע מכך שהחברה אינה חוסמת או מסננת קודים שהגיעו ממשתמשים. לטענתו, הבעיה באפליקציות של החברה קיימת זמן רב.

אישור לדבריו של רז הגיע מארכיטקט האבטחה בחברת צ'ק פוינט, דרור שלו, שבדק אף הוא אפשרות להחדיר קוד חיצוני לדואר וואלה, ואף הציג את ממצאיו בכנס tausec, שהתקיים באוניברסיטת תל אביב בפברואר השנה.

שלו מתח ביקורת נוקבת על מצב האבטחה בוואלה: "אם לוקחים את ספר הכתובות של וואלה ומשתמשים בטכנולוגיות החדשות באינטרנט, כמו Ajax ו-CSRF, אפשר להחדיר סקריפט שמכריח משתמש לגשת לכל מיני מקומות ללא ידיעתו".

לדבריו, מצב האבטחה של החברה בעייתי זה שנים: "המנגנונים שלה אינם קשיחים מספיק". שלו סיפר כי מצא בעיות דומות ביאהו כשעבד בחברת פינג'אן, אך לדבריו החברה האמריקאית שיפרה מאז את מנגנוני האבטחה שלה.

מוואלה נמסר בתגובה: "החברה מקפידה לשמור על פרטיות גולשיה ככלל, ובמערכות הדואר האלקטרוני שלה בפרט. אנו מפעילים את מערכת הדואר האלקטרוני הגדולה בישראל, ועוקבים באופן שוטף אחר ניסיונות פריצה.

"מדובר במשחק של חתול ועכבר, שעמו מתמודדים כל השחקנים המובילים בישראל ובעולם. הפרצה נחסמה על ידנו עוד לפני שהתקבלה פנייה בעניין, ואנו נמשיך להילחם בניסיונות פריצה בכל האמצעים העומדים לרשותנו, ובכלל זה אמצעים טכנולוגיים, תוך הפעלת רשויות החוק".