{פ125} סופרמרקט שיתופי מדי
עודכן: מאת צוות פודקאסט·ישראל
האזינו לפרק המלא
אנחנו עוזרים למצוא את הפרק, ההאזנה המלאה נמצאת אצל היוצרים, בפלטפורמה שלהם.
/ הפרק במספרים
| פורסם | 27 בספטמבר 2026 |
|---|---|
| אורך | 23 דק׳ (קצר ב-51% מהממוצע בתוכנית) |
| הנושא המרכזי | דליפת מאגר תומכים באתר של סופרמרקט שיתופי |
| קטגוריה | הייטק וסטארטאפים |
על מה הפרק?
אתר תעודת השותף של סופרמרקט שיתופי שלח לכל דפדפן את כל מאגר התומכים, יותר מ-5,000 שמות, טלפונים ומיילים, על כל חיפוש של מספר טלפון.
מאזין בשם איתי נתנאל הזין את מספר הטלפון שלו באתר של רשת סופרמרקט לואו-קוסט שגייסה כסף בהדסטארט, כדי להוריד תעודת שותף לדרך, ופתח את לשונית הנטוורק בכלי הפיתוח של הדפדפן. התברר שהאתר מוריד את כל מאגר התומכים לדפדפן בקבוצות של 200 רשומות ומחפש בהן מקומית, עד 5,196 רשומות עם שם מלא, טלפון, אימייל וסכום התשלום, וזה גם מסביר את ההמתנה של עד דקה. שדה הטלפון קיבל גם תעודת זהות בת תשע ספרות, בלי הגבלה על מספר הניסיונות, והמאגר ירד מחדש בכל שאילתה. המנחים משערים שהקוד נכתב בווייב קודינג בלי שום הנחיה על פרטיות או אבטחת מידע, ויזמי הסופר הורידו את האתר מיד והחזירו אותו אחרי שהפרצה נסתמה.
מודל שפה שמקבל פרומפט בסגנון תן לי טופס שמקבל טלפון ומחזיר תמונה יפה עושה את המינימום שמספק את הבקשה, ולא מנחש אבטחת מידע או פרטיות שאיש לא ביקש.
/ תובנות מרכזיות
- לחיצה על F12 בדפדפן פותחת את כלי הפיתוח, ולשונית הנטוורק מראה כל קריאה שהדפדפן שולח לשרת, בלי שום כלי פריצה.
- האתר החזיר 200 רשומות בכל קריאה ולכן הוריד את המאגר כולו, 200 ועוד 200, עד שמצא את הטלפון, וזו הסיבה לדקת ההמתנה.
- בתעודה כתוב 5,090 שותפים, אבל הדפדפן הוריד 5,196 רשומות, כולל רשומות בדיקה כמו סנטה קלאוס עם מייל [email protected] ששילם 18 שקלים.
- כל רשומה כללה מזהה, שם מלא, טלפון, אימייל, סכום תשלום, שעת איסוף ושמות טבלאות פנימיות של המערכת.
- טעינת טבלה שלמה לדפדפן היא דפוס סביר בכלים פנימיים בלי שרת, אבל קטסטרופה כשמדובר במידע אישי של הציבור.
אם מודל השפה למד מכל הקוד בגיטהאב וכל התשובות בסטאק אוברפלו, למה הוא מייצר אתר שמחזיר דאטאבייס שלם, כשרוב המתכנתים יודעים שלא ככה עונים על שאילתה?
- 1לפני העלאת אתר שמטפל בפרטים אישיים, לפתוח את לשונית הנטוורק בכלי הפיתוח ולבדוק מה השרת מחזיר בפועל על כל קריאה.
- 2לבצע את החיפוש בצד השרת ולהחזיר לדפדפן רק את הרשומה של המשתמש ששאל, לא את כל המאגר.
- 3להוסיף ולידציה לשדה הקלט, למשל פורמט מספר טלפון, והגבלה על מספר הניסיונות.
- 4לכלול בפרומפט לכלי הווייב קודינג דרישות מפורשות של אבטחת מידע ופרטיות, כי המודל לא מנחש אותן לבד.
- 5לנקות רשומות בדיקה מהמאגר לפני העלייה לאוויר, ולעבור על צ'קליסט אבטחה בסיסי גם כשלא מדובר במתכנת מקצועי.
ניתוח מאת מערכת פודקאסט·ישראל, מבוסס תמלול אוטומטי של הפרק. על המתודולוגיה והמגבלות
שאל את הפרק (Chat with Episode)
קבל תשובות מיידיות מתוך תמלול וניתוח ה-AI
שאלות מומלצות בלחיצה אחת:
מתיאור הפרק
ו…חזרנו. הסופרמרקט השיתופי פייר גייס מימון-המונים, ודחף את פרטי התורמים לכל מי שהוריד תעודת משתתף. הפירצה נסגרה אחרי פנייתנו, ויש לנו עצות איך להימנע מטעויות דומות 🖼️ עידוק + חנן כהן (cc-by-sa) + Roadsidepictures (CC-by-nc) + אתר וסושיאל פייר 📜 בלוגפוסט, הערות התוכנית וקרדיטים: cybercyber.co.il
איך נוצר העמוד הזה
124 פרקים של סייברסייבר = 124 מאמרים שגוגל מדרג
את התקציר והניתוח בעמוד הזה הפקנו אוטומטית מתוך האודיו של הפרק, בלי שאיש כתב מילה. זה בדיוק מה ש-AuthorityRank עושה לארכיון שלם: כל פרק הופך למאמר עברי איכותי שמדורג בגוגל ומצוטט על ידי ChatGPT ו-Perplexity, ומתפרסם אוטומטית במגזין משלכם.
הארכיון שלכם הוא אודיו מת שמנועי החיפוש לא מוצאים. אנחנו הופכים אותו לנכס שמביא תנועה כל חודש.