Citigroup, furto di dati per centinaia di migliaia di utenti

MOSTRUOSO!

Ho cercato qualche notizia altra riguardo come hanno fatto a penetrare Citigroup ed ho trovato questo:
http://www.smh.com.au/business/citigroup-hack-was-seemingly-simple-but-ingenious-20110614-1g1x1.html

A quanto pare Citigroup si è fatta fare da degli incapaci totali la parte del sito che gestisce l'accesso alle funzioni riservate ai possessori di carta di credito.

Secondo l'articolo, quando si accede al sito inserendo il codice della propria carta di credito si viene ridirezionati ad una pagina
CON UN URL CHE CONTIENE IL CODICE DELLA CARTA DI CREDITO
(non è chiaro se il codice è almeno "mascherato in modo leggero" in qualche modo o se compare in chiaro nell'URL, ma fa poca differenza) e nessun altro controllo aggiuntivo.

Quindi i tipi non hanno dovuto far altro che usare un utility che genera per tentativi URL di accesso cambiando la parte che contiene il codice (a caso oppure usando codici progressivi, non è chiaro, ma basta che sia fatto senza troppe ripetizioni di tentativi dallo stesso indirizzo IP e con il tempo qualcosa si becca).

Non è ne una tecnica nuova e neppure tanto insolita, anni fa era molto facile entrar dentro a siti p0rn a pagamento usando una tecnica simile, ma con il tempo quelli si sono svegliati ed ora non funziona più.

che cacata avrei detto? visto che siete degli illuminati, illuminatemi

la difesa non puoi farla solo a livello di rete ma anche a livello di applicazioni.
Infatti la maggiorparte delle volte gli hacker sfruttano queste vulnerabilità, vedi il cross site e l'sql injection, ma di solito chi fà le applicazioni ci capisce poco di sicurezza e chi fa la sicurezza ci capisce poco di applicazioni

Sarei dispostissimo a scusarmi pubblicamente, se giustificassi questa risposta.
Parliamo di una azienda quotata in borsa, non dell' ufficio dietro casa (per il quale, seppure con le dovute proporzioni, non potrei che farti il coro).
Non c'e' "un tizio da 1200€...".

tralasciando il fatto che hai detto che solo io ho detto una cacata quando ho ripreso il tipo che diceva che la mia era una cosa ovvia, mentre tu dici che non è vero che le cose stanno così.
Conosco e collaboro con decine di aziende internazionali che fanno prodotti di sicurezza e aziende spa che hanno appalti statali e non, ovviamente non posso pubblicare le loro buste paga, ma le cose stanno come le ho descritte.
Puoi non credermi e sinceramente non m' interessa, il mondo in cui lavoro lo conosco.