Per iniziare con la parte facile: non è necessario inserire informazioni reali come risposte alle domande. Le stringhe casuali funzionano meglio se sei veramente paranoico e le memorizzi in un gestore di password proprio come una password.

Il resto (nessuna protezione dalla forza bruta, software potenzialmente obsoleto) è un peccato, ma non c'è niente che tu può fare, dal punto di vista della sicurezza. Vorrei sollevare il problema con HR / Payroll e chiedere loro di indagare. Se ti trovi in ​​Europa, puoi anche parlare con il tuo DPO per suggerire che il suo "Responsabile del trattamento dei dati" ha pratiche di sicurezza dell'account problematiche che devono essere indagate.

Altrimenti, questa è più una questione politica interna all'ufficio.

Per me questo significa che non hai indagato abbastanza per dire con sicurezza che non è sicuro. Non hai mostrato alcun particolare exploit diretto né hai davvero scavato nel loro sistema (in un modo non hacking, frugando in giro). I tuoi superiori potrebbero non essere interessati a causa della mancanza di prove dirette di ciò.

Ad esempio, il mio lavoro utilizza un sito di terze parti per la pianificazione delle vacanze, ho scoperto che mi consente di "recuperare" la mia password inviando la mia password esatta in testo normale tramite e-mail, che è un prova di un problema che posso segnalare. Allo stesso modo, un sito utilizzato per alcuni servizi IT (SIP Trunk) ha avuto un problema in cui potevo cambiare gli ID nell'URL e (con mia sorpresa) visualizzare le informazioni sull'account di altre persone, ancora una volta, un'altra linea diretta di prove. In questo momento, hai solo dei sospetti, e non quelli ovvi.

Per inciso, tutte le domande di sicurezza per reimpostare le password sono insicure, poiché si basano su informazioni comuni. Come altri hanno suggerito, puoi inserire risposte false qui (che puoi ancora ricordare) o stringhe generate interamente in modo casuale. Puoi pensare alle domande di sicurezza come una sfida alla sicurezza da "String" a "String" nel senso più generico.

Come farei:

A. Scopri se questo sito è davvero così insicuro come penso?

Non puoi davvero, a meno che tu non sia testimone di un problema concreto e sfruttabile. È quello che fanno le aziende di infosec, cercano di rompere attivamente i sistemi (con il consenso dei proprietari). Conoscono molte procedure e tecniche per separare sistematicamente un'applicazione di questo tipo, da cose semplici come usare HTTP invece di HTTPS, uso non sicuro dei cookie, XSS, SQL injection, ma anche altre cose come gli ID che vengono ovviamente semplicemente contati (il che significa che puoi provali in sequenza), le cose vengono controllate solo sul browser (facilmente contraffatte), e così via e così via.

Possono anche combinare approcci blackbox con whitebox (cioè, semplicemente guardando dal all'esterno, come farebbe qualsiasi hacker / cracker, o studiando effettivamente il codice sorgente, entrando nei server con gli account forniti e così via).

Potresti fare tutto da solo, ma come stai chiedendo, tu ovviamente non so davvero come. Ma il problema principale è che se lo facessi, senza prima ottenere il consenso, saresti almeno in territorio grigio, se non addirittura infrangere la legge.

B. se vero: comunicarlo in modo appropriato all'azienda stessa (preferibilmente in modo anonimo)

Non puoi (anonimo, almeno). Se c'è un CISO dedicato, sarebbe la tua prima linea di attacco; ma a parte questo, specialmente nelle aziende più piccole, c'è poco che puoi fare se la tua direzione si limita a scrollare le spalle.

Immagino che ci possano essere circostanze specifiche in cui alcune agenzie governative potrebbero essere interessate, ad esempio se la tua azienda lavora per il governo in un'area che ha requisiti di sicurezza rigorosi; allora ovviamente potresti provare a inviare un messaggio anonimo da qualche parte, ma perché dovrebbero preoccuparsi delle tue informazioni sulle risorse umane ...

Ma in generale, per le aziende arbitrarie, si applica il detto "Non c'è destino se non quello che facciamo per noi stessi".

Se dovessi indovinare, scommetterei che il servizio è resiliente anche agli attacchi di forza bruta, per la semplice virtù di essere sotto-fornito per gestire il carico coinvolto. Se vai troppo veloce con le ipotesi, il server cadrà, avvisando gli amministratori di quello che sta succedendo. Procedi troppo lentamente e non indovini abbastanza velocemente da aspettarti il ​​successo in un periodo di tempo ragionevole.

Aggiungi questo al suggerimento di altri di utilizzare informazioni false e il servizio non sarà affatto vulnerabile se stai attento ... almeno, non nei modi riportati finora. Nota che ho detto "Se". Sembra un design sfortunato che, come hai accennato, non crea fiducia in cos'altro potrebbe esserci dietro le quinte.

Non tenterei di testare ulteriormente me stesso, ma se questo è un prodotto utilizzato da molte altre aziende, potresti provare a mettere un bug nell'orecchio di un vero ricercatore di sicurezza, che saprà testarlo in modo etico ed essere più preparato ad affrontare qualsiasi ricaduta legale. Se sei l'unica persona con una mentalità tecnica nella tua zona al lavoro, potresti anche voler avvisare i colleghi di come utilizzare il servizio "in sicurezza".

Penso che tu abbia ragione: probabilmente sembra che il sito sia potenzialmente piuttosto insicuro. Quelle sono alcune bandiere rosse e l'intera faccenda suona un po 'maleodorante. MD5 è ampiamente considerato crittograficamente insicuro.

Detto questo, la domanda "cosa devo fare?" è uno che affligge molti scenari relativi alla sicurezza. C'è un costo e un vantaggio per ogni azione che intraprendi, e la giusta scelta di azione dipende fortemente dal tuo ambiente e dalle sfumature del tuo scenario individuale. In che tipo di industria lavori? Quanto sono preziose le informazioni che stai memorizzando nel sistema? Forse la cosa più importante, quanto è ricettiva la tua azienda al cambiamento delle pratiche di sicurezza?

Queste sono tutte le domande pertinenti a cui rispondere e per le quali nessuno di noi qui su Internet ™ è in grado di aiutare. In ogni domanda su come gestire una situazione che coinvolge pratiche insicure, conoscere le sottigliezze di un ambiente aziendale - le storie lavorative degli individui, la natura delle loro connessioni aziendali, il livello di rischio di inasprire le relazioni - definisce cosa fare dopo.

Quello che sto cercando di ottenere è che mi sembra che nessuno di noi sia davvero qualificato per rispondere a questo per te. Esiste una serie infinita di potenziali opzioni e la migliore linea d'azione dipende davvero dalla tua situazione a un livello di dettaglio che non è realmente trasmettibile qui.

Buona fortuna!

Se sei un professionista IT puoi leggere il Codice etico ACM, che è il codice etico più completo attualmente disponibile nell'IT.

La sezione 1.2 dice: "Un computer il professionista ha l'obbligo aggiuntivo di segnalare eventuali segni di rischi di sistema che potrebbero causare danni. Se i leader non agiscono per ridurre o mitigare tali rischi, potrebbe essere necessario "fischiare" per ridurre il danno potenziale. Tuttavia, capriccioso o fuorviante la segnalazione dei rischi può essere di per sé dannosa. Prima di segnalare i rischi, un professionista informatico dovrebbe valutare attentamente gli aspetti rilevanti della situazione. "