ИИ-агент Reflectiz нашёл обход OTP на сайте крупного страховщика

ИИ-агент для пентестов от Reflectiz самостоятельно обнаружил критическую уязвимость в логине крупного страховщика: сервер отправлял одноразовый код на любой указанный адрес почты, не проверяя его привязку к аккаунту. Компания заявляет о до 10x большей пропускной способности тестов при тех же затратах, чем при ручном пентесте.

• Смена канала доставки OTP на email и подмена адреса позволяли перехватить код входа
• Страховщик проводил пентест примерно за полгода до находки, но уязвимость осталась
• Reflectiz обещает до 10x объёма тестирования при той же стоимости, чем ручной пентест
• Исправление: привязка кода к аккаунту на сервере для всех каналов доставки