Check Point: Новая уязвимость TikTok позволяет собирать личные данные пользователей

Исследователи компании Check Point Software Technologies Ltd., ведущего поставщика решений в области кибербезопасности, обнаружили брешь в функции «Найти друзей» в TikTok. Если ее не устранить, данная уязвимость позволит злоумышленникам получать доступ к личным данным в профилях пользователей, в том числе к номеру телефона, привязанному к аккаунту, нику, уникальному ID пользователя, фотографии профиля, а также к некоторым настройкам, включая возможности скрыть профиль и управлять подписками. Полученную информацию злоумышленники могут использовать в преступных целях.
  • Исследователи Check Point Research во второй раз обнаружили бреши в безопасности TikTok.
  • Уязвимость открывает доступ к данным профиля, в том числе к номеру телефона, нику и уникальному ID пользователя, фотографии профиля и т.д.
  • Команда исследователей Check Point Research сообщила об уязвимости представителям TikTok, меры по ее устранению уже принимаются.

По данным TikTok, каждый месяц новыми пользователями приложения становятся 100 миллионов человек по всему миру, а число скачиваний уже превысило 2 миллиарда — это втрое больше, чем в 2018 году. Аналитики компании App Annie, которая занимается мобильными данными, прогнозируют, что в 2021 году число активных пользователей TikTok достигнет 1 миллиарда пользователей в месяц, и приложение сравняется по популярности с Facebook, Instagram, Messenger, WhatsApp, YouTube и WeChat.

Чтобы пользователи TikTok могли не опасаться за свою личную информацию, команда экспертов Check Point Research провела исследование и сообщила о найденной уязвимости ByteDance — компании-разработчику TikTok. Было срочно развернуто решение для ее устранения, чтобы пользователи TikTok могли и дальше безопасно использовать приложение.

Как злоумышленники могли использовать уязвимость:

  1. Сначала потребовалось бы создать список устройств (идентификаторов устройств) для запросов к серверам TikTok.
  2. Далее создать список токенов сеанса (каждый действителен в течение 60 дней), которые будут использоваться для запросов к серверам TikTok.
  3. Обойти механизм подписи HTTP-сообщений TikTok с помощью замены сервиса электронной подписи, выполняемой в фоновом режиме.
  4. Объединить все это в цепочку, изменяя HTTP-запросы, и  заменить их электронную подпись
  5. Использовать различные токены сеанса и идентификаторы устройств, чтобы обойти механизмы защиты TikTok.

Исследователи Check Point Research дважды находили уязвимости в TikTok. В первый раз, 8 января 2020 года, в блоге Check Point Research был опубликован документ, в котором сообщалось о наборе уязвимостей, используя которые злоумышленники могли получить доступ к личной информации, сохраненной в учетных записях, или предпринимать действия от имени пользователя без его согласия.

«В этот раз нашей основной задачей стало исследование защиты персональной информации в TikTok. Мы решили проверить, можно ли использовать платформу для получения личных данных пользователей. Оказалось, что можно. Нам удалось обойти несколько механизмов защиты TikTok, тем самым нарушив конфиденциальность приложения. Используя эту уязвимость, киберпреступники могли бы создать базу данных пользователей и их номеров телефонов. Обладатели этой информации получили бы возможность осуществлять целевые фишинговые атаки и другие преступные действия. Мы призываем пользователей TikTok указывать как можно меньше данных о себе и регулярно обновлять операционную систему и приложения до последней версии», — прокомментировал глава Check Point Software Technologies по исследованию уязвимостей продуктов Одед Вануну.

«Безопасность и конфиденциальность данных пользователей TikTok является нашим главным приоритетом. Мы ценим помощь доверенных партнеров, таких как Check Point, которые помогают нам обнаруживать потенциальные угрозы до того, как они затронут пользователей. Мы продолжаем укреплять защиту — совершенствуем наши внутренние возможности, увеличиваем инвестиции в автоматические системы безопасности, а также сотрудничаем с другими организациями», — говорит представитель TikTok.

Редактор раздела: Александр Авдеенко (info@mskit.ru)

Рубрики: Интернет, ПО, Безопасность

наверх
 
 
     

А знаете ли Вы что?

     
 

MSKIT.RU: последние новости Москвы и Центра

25.02.2021 Госсегмент увеличит траты на IT

17.02.2021 Менее четверти россиян работают в удаленном или гибридном режиме

12.02.2021 В киберпространстве наступили девяностые

10.02.2021 Импортозамещение на Java становится значимым трендом

09.02.2021 Новое умение – обманывать ИИ

02.02.2021 Применение биометрии в платежах вырастет на 650%

27.01.2021 COVID заставил ангелов падать

21.01.2021 Gartner: 69% компаний расширили цифровые инициативы в ответ на COVID-19

NNIT.RU: последние новости Нижнего Новгорода

ITSZ.RU: последние новости Петербурга