Burger King и потенциальная уязвимость ⁠⁠

Несмотря на то, что автор первоначальной новости не предоставил пруфов и я считаю что он не доказал что данные карт записываются в видео, я смог получить видео с данными карты (кроме CVC) подменив ответ сервера AppSee. Дело в том, что AppSee регулярно обновляет свою конфигурацию  (что писать, как писать и т.д.) с сервера AppSee. Там, полагаю, есть панель администрирования и в любой момент можно изменить конфигурацию без обновления приложения. В конфигурации можно ВКЛЮЧИТЬ показ всех полей (HideInput: false, HideSensitiveViews: false). Что я и сделал.

Сейчас в конфигурации БК запись видео уже отключена. Я так же попробовал увеличить качество видео, указав бОльший размер записываемого видео, но ничего не поменялось, возможно надо еще пробовать.

CVC в приложении вводится сразу спец. символами (можете проверить), поэтому на видео это не попадает.

Как итог, БК или AppSee имели и имеют в текущей версии (2.2.0 146) возможность вести запись формы ввода карты. Делали они этого или нет я сказать не могу.

Немного данных (видео, скрипт замены для mitmproxy) https://yadi.sk/d/tjxg2OJ83Z6YB8

Здесь кратко как можно повторить самим https://habr.com/post/416991/#comment_18875845

Важное добавление: На видео видны нажатия на клавиатуру :) Я уже мухажук, сам записал, сам не увидел. Но из-за ограничения FPS нажатия не все попадут.

Еще добавление. Видео от автора недавно все же появилось, он утверждает что не вмешивался в траффик (что сделал я). Вопрос открытый верить ему или нет, видео просили у него сразу.