Новая уязвимость TikTok позволяет собирать личные данные пользователей

Checkpoint обнаружила брешь в функции «Найти друзей» в TikTok. Если ее не устранить, данная уязвимость позволит злоумышленникам получать доступ к личным данным в профилях пользователей, в том числе к номеру телефона, привязанному к аккаунту, нику, уникальному ID пользователя, фотографии профиля, а также к некоторым настройкам, включая возможности скрыть профиль и управлять подписками. Полученную информацию злоумышленники могут использовать в преступных целях.

По данным TikTok, каждый месяц новыми пользователями приложения становятся 100 миллионов человек по всему миру, а число скачиваний уже превысило 2 миллиарда — это втрое больше, чем в 2018 году. Аналитики компании App Annie, которая занимается мобильными данными, прогнозируют, что в 2021 году число активных пользователей TikTok достигнет 1 миллиарда пользователей в месяц, и приложение сравняется по популярности с Facebook, Instagram, Messenger, WhatsApp, YouTube и WeChat.

Чтобы пользователи TikTok могли не опасаться за свою личную информацию, команда экспертов Check Point Research провела исследование и сообщила о найденной уязвимости ByteDance — компании-разработчику TikTok. Было срочно развернуто решение для ее устранения, чтобы пользователи TikTok могли и дальше безопасно использовать приложение.

Как злоумышленники могли использовать уязвимость:

1. Сначала потребовалось бы создать список устройств (идентификаторов устройств) для запросов к серверам TikTok.

2. Далее создать список токенов сеанса (каждый действителен в течение 60 дней), которые будут использоваться для запросов к серверам TikTok.

3. Обойти механизм подписи HTTP-сообщений TikTok с помощью замены сервиса электронной подписи, выполняемой в фоновом режиме.

4. Объединить все это в цепочку, изменяя HTTP-запросы, и заменить их электроную подпись

5. Использовать различные токены сеанса и идентификаторы устройств, чтобы обойти механизмы защиты TikTok.

Исследователи Check Point Research дважды находили уязвимости в TikTok. В первый раз, 8 января 2020 года, в блоге Check Point Research был опубликован документ, в котором сообщалось о наборе уязвимостей, используя которые злоумышленники могли получить доступ к личной информации, сохраненной в учетных записях, или предпринимать действия от имени пользователя без его согласия.

«В этот раз нашей основной задачей стало исследование защиты персональной информации в TikTok. Мы решили проверить, можно ли использовать платформу для получения личных данных пользователей. Оказалось, что можно. Нам удалось обойти несколько механизмов защиты TikTok, тем самым нарушив конфиденциальность приложения. Используя эту уязвимость, киберпреступники могли бы создать базу данных пользователей и их номеров телефонов. Обладатели этой информации получили бы возможность осуществлять целевые фишинговые атаки и другие преступные действия. Мы призываем пользователей TikTok указывать как можно меньше данных о себе и регулярно обновлять операционную систему и приложения до последней версии», — прокомментировал глава Check Point Software Technologies по исследованию уязвимостей продуктов Одед Вануну.

«Безопасность и конфиденциальность данных пользователей TikTok является нашим главным приоритетом. Мы ценим помощь доверенных партнеров, таких как Check Point, которые помогают нам обнаруживать потенциальные угрозы до того, как они затронут пользователей. Мы продолжаем укреплять защиту — совершенствуем наши внутренние возможности, увеличиваем инвестиции в автоматические системы безопасности, а также сотрудничаем с другими организациями», — говорит представитель TikTok.