Izraelska firma zajmująca się cyberbezpieczeństwem znalazła poważne luki w TikTok

Izraelska firma zajmująca się cyberbezpieczeństwem znalazła poważne luki w popularnej aplikacji wideo TikTok, która nie została sprawdzona, mogło pozwolić hakerom na manipulowanie danymi użytkownika, ujawnianie informacji osobistych i wysyłanie złośliwych użytkowników spinki do mankietów.

Według raportu The New York Times:

TikTok, ukochana przez nastolatków aplikacja na smartfony, z której korzystają setki milionów ludzi na całym świecie, miała poważne luki, które zezwalał hakerom na manipulowanie danymi użytkowników i ujawnianie danych osobowych - wynika z badań opublikowanych w środę przez Check Point, firmę zajmującą się cyberbezpieczeństwem w Izrael.

Słabości pozwoliłyby atakującym na wysyłanie użytkownikom TikTok wiadomości zawierających złośliwe linki. Gdy użytkownicy kliknęli odsyłacze, osoby atakujące byłyby w stanie przejąć kontrolę nad swoimi kontami, w tym przesłać filmy wideo lub uzyskać dostęp do prywatnych filmów. Osobna luka umożliwiła badaczom Check Point pobranie danych osobowych z kont użytkowników TikTok za pośrednictwem strony internetowej firmy.

Szef działu badań luk w produktach firmy Check Point powiedział:

„Wszystkie znalezione przez nas luki były rdzeniem systemów TikTok”.

Według raportu Check Point powiadomił TikTok 20 listopada, a wszystkie luki zostały naprawione do 15 grudnia. Zgodnie ze standardową praktyką w tych scenariuszach firmy zajmujące się cyberbezpieczeństwem oraz osoby wyszukujące błędy, exploity i luki w zabezpieczeniach zwykle milczeć, dopóki deweloper nie będzie miał szansy na rozwiązanie problemów, aby zapobiec pojawieniu się wiedzy o takich problemach rozpowszechniony.

TikTok jest już na celowniku Ustawodawcy z USA, w szczególności z powodu obaw związanych z jej powiązaniami z Chinami. Pozorne odkrycie ogromnych, możliwych do wykorzystania luk w zabezpieczeniach prawdopodobnie nie zdziałaby cudów dla jego wizerunku. W oświadczeniu szef bezpieczeństwa TikTok Luke Deshotels powiedział:

„TikTok zobowiązuje się do ochrony danych użytkowników... Podobnie jak wiele organizacji, zachęcamy odpowiedzialnych badaczy bezpieczeństwa do prywatnego ujawniania nam luk zero-day... Przed publicznym ujawnieniem firma Check Point zgodziła się, że wszystkie zgłoszone problemy zostały załatane w najnowszej wersji naszej aplikacji. Mamy nadzieję, że to udane rozwiązanie zachęci do przyszłej współpracy z badaczami bezpieczeństwa ”.

Pan Deshotels zauważył ponadto, że nic nie wskazywało na naruszenie dokumentacji klientów.

W raporcie zauważono, że młodsze aplikacje startowe, które szybko się rozwijają, często są bardziej narażone na luki w zabezpieczeniach. Inny ekspert ds. Cyberbezpieczeństwa stwierdził:

„Spodziewałbym się tego typu luk w firmie takiej jak TikTok, która prawdopodobnie bardziej koncentruje się na ogromnym rozwoju i tworzeniu nowych funkcji dla swoich użytkowników niż na bezpieczeństwie”.

Według raportu jedna z luk w zabezpieczeniach podobno pozwalała atakującym na użycie odsyłacza w systemie komunikacyjnym TikTok do wysyłania użytkownikom wiadomości, które wyglądały tak, jakby pochodziły z TikTok. Mogą wysyłać złośliwe oprogramowanie, które pozwoliłoby im przejąć kontrolę nad kontami w celu przesyłania treści, usuwania filmów i upubliczniania prywatnych filmów. Poinformowano również, że TikTok był podatny na ataki polegające na wstrzyknięciu złośliwego kodu do zaufanych witryn internetowych i że badacze Check Point byli w stanie odzyskać dane osobowe użytkowników, w tym nazwiska i daty narodziny.

Jak wspomniano, Check Point najwyraźniej potwierdził, że wszystkie zgłoszone luki zostały już naprawione przez TikTok.