Funkcja „znajdź przyjaciół” w aplikacji TikTok pozwalała na ominięcie zabezpieczeń i umożliwiała atakującemu uzyskanie dostępu do szczegółów profilu użytkownika wraz z jego numerem telefonu – informują analitycy Check Point Research. Według specjalistów ds. cyberbezpieczeństwa wykryta luka mogła posłużyć budowaniu nielegalnych baz danych służących szkodliwej działalności.
Analiza zabezpieczeń aplikacji TikTok wykazała, że wykorzystując wykryte luki hakerzy mogli uzyskać dostęp do numeru telefonu, pseudonimu, zdjęcia profilowego i awatara, unikalnych identyfikatorów użytkownika, a także określonego ustawienia profilu. Tik Tok posiadając przeszło 2,8 mln użytkowników w Polsce oraz blisko 700 milionów aktywnych użytkowników na całym świecie mógł stać się zatem przyczółkiem dla dalszych działań przestępczych. Warto nadmienić, że użytkownikami usługi często są osoby znane jak Britney Spears, Justin Bieber czy w Polsce Robert Lewandowski. TikToka w swojej kampanii wyborczej wykorzystywał również Andrzej Duda.
W świetle informacji o możliwości przejęcia danych osobowych oraz numeru telefonu niepokoi fakt, że aż 90% użytkowników aplikacji w Polsce to osoby poniżej 19 roku życia.
Swoje ustalenia Check Point Research przekazał firmie ByteDance, twórcy TikToka, która opracowała niezbędne łatki, aby zapewnić użytkownikom bezpieczne dalsze korzystanie z aplikacji. Jak się okazuje nie był to pierwszy przypadek wykrycia luk w popularnej aplikacji. Rok temu, Check Point opublikował artykuł na temat zestawu luk w zabezpieczeniach, które mogły umożliwić osobie będącej zagrożeniem dostęp do danych osobowych zapisanych na kontach użytkowników, manipulowanie danymi kont użytkowników lub podejmowanie działań w imieniu użytkownika bez jego zgody.
– Główną motywacją (przeprowadzenia badań – przyp. red.) tym razem było zgłębienie prywatności TikTok. Byliśmy ciekawi, czy platforma TikTok może zostać wykorzystana do pozyskania prywatnych danych użytkowników. Okazało się, że odpowiedź jest twierdząca i udało nam się ominąć wiele mechanizmów ochronnych, które prowadzą do naruszenia prywatności. – mówi Oded Vananu, szef działu podatności produktów w firmie Check Point.
Ekspert Check Pointa zwraca również uwagę, że osoba atakująca dysponująca poufnymi informacjami przejętymi z aplikacji mogła wykonać szereg złośliwych działań, takich jak phishing typu spear lub inne działania przestępcze. Jednocześnie Vananu zaleca udostępnienie aplikacjom absolutnego minimum, jeśli chodzi o nasze dane osobowe, a także rekomenduje bieżące aktualizowanie systemów operacyjnych oraz aplikacji do najnowszych wersji.
W związku z incydentem swoje oświadczenie wystosował również TikTok:
– Bezpieczeństwo i prywatność społeczności TikTok jest naszym najwyższym priorytetem i doceniamy pracę zaufanych partnerów, takich jak Check Point, w identyfikowaniu potencjalnych problemów, pozwalającą na ich rozwiązanie, zanim wpłyną na użytkowników. Wciąż wzmacniamy nasze mechanizmy obronne, zarówno poprzez ciągłe wzmacnianie naszego wewnętrznego potencjału (…), jak również przez współpracę z podmiotami trzecimi.
