TikTok se vio en serio peligro de desaparecer por lo menos parcialmente durante 2020. Pero una vez finalizada la administración de Donald Trump parece que pueden volver a respirar en calma.
Sin embargo, y por desgracia, no podemos decir lo mismo sobre sus usuarios. Ya que habrían estado expuestos a una seria falla de seguridad en la plataforma.
TikTok: De esta manera puedes subir los videos desde la galeria de tu smartphone
Muchas veces elegimos editar en otra aplicación, para luego subirlo en la plataforma asiática.
La buena noticia es que TikTok ha parchado este error crítico en su sistema. Pero la historia detrás del incidente da mucho en qué pensar.
Gracias a su programa de recompensas
Resulta que durante las negociaciones para no cerrar su operación TikTok se vio obligado a lanzar un programa de búsqueda y recompensas por encontrar bugs en la app.
Fue así como la gente de Check Point Research encontró un error delicado en el código de la app que permitía distintos niveles de manipulación.
La vulnerabilidad descubierta por dicha firma habría permitido a los atacantes utilizar la función Friend Finder de la aplicación para robar los detalles del perfil y los números de teléfono de los usuarios. Para luego crear una base de datos de información que podría usarse para ataques maliciosos.
Para lograr esto los hackers de sombrero blanco desarrollaron un exploit a la medida. Luego de notar una falla en la forma en que los servidores de TikTok confirmaban que las solicitudes de Friend Finder.
Todo debido a que generaban un ID de dispositivo único para el teléfono de cada usuario, junto con un token de usuario y una cookie de sesión.
TikTok: por qué fue bloqueado en Italia, una lección para otras naciones
La trágica muerte de una niña ha marcado el crudo antecedente que recalca la urgencia de regular redes sociales como TikTok entre los más pequeños.
El problema era que las cookies se mantenían validadas en el sistema por un lapso de 60 días, dos meses. Lo que había fácil explotarlas para vincularlas a dispositivos virtuales que permitían el robo de otros datos mediante procesos automatizados que hacían posible más acciones maliciosas.
Al final Check Point Research armó una base de datos con información delicada tal como:
- Números de teléfono
- Nikcnames
- Fotos de perfil
- Avatares
- ID de usuario único
- Configuraciones de privacidad específicas para la cuenta
Actualmente este error ha sido parchado y ya no se corre el peligro de robar estos datos. Aunque el riesgo estuvo ahí presente por bastante tiempo.
Source: fayerwayer