Brecha de segurança no TikTok permitia acesso a dados pessoais dos usuários

Uma brecha no sistema de busca por amigos no TikTok permitia acesso a dados pessoais dos usuários, como apelidos, números de telefone e imagens de perfil, além de configurações de privacidade e identificações relacionadas às contas. A abertura estava em uma opção de sincronização de contatos do celular com a rede social, de forma a ajudar na localização de pessoas conhecidas que poderiam ser adicionadas.

• Falhas de segurança no TikTok permitiam envio de links e manipulação de perfis
• Vazamento de dados pode ter exposto CPF de quase toda a população brasileira
• Startup aponta quais as fraudes de identificação digital mais usadas em 2020

Os relatos sobre a vulnerabilidade foram publicados pela Check Point, empresa especializada em segurança digital, que demonstrou como uma manipulação de sistemas de verificação poderia permitir acesso às informações de terceiros. Usando aparelhos virtuais, um atacante seria capaz de automatizar as solicitações de sincronização de contatos e buscas por usuários, baixando as informações resultantes e obtendo um grande banco de dados de dados pessoais.

A exploração era capaz, até mesmo, de burlar outros mecanismos de segurança presentes no TikTok, como a limitação das buscas a 500 contatos por dia para cada usuário ou dispositivo. Recursos desse tipo servem, justamente, para evitar uma obtenção em massa de dados de usuários, mas no caso da vulnerabilidade em questão, bastou uma manipulação do sistema de validação para que pesquisas e sincronizações sucessivas pudessem ser realizadas

A partir daí, seria possível a realização de diferentes atividades criminosas, como explica Ekram Ahmed, da Check Point. Utilizando os números de telefone e informações pessoais, hackers poderiam realizar ataques de phishing contra os usuários, enviando malwares por SMS ou mensageiros instantâneos, além de links falsos para cadastros e promoções que visassem obter outras informações pessoais dos usuários atingidos.

Felizmente, o problema foi solucionado antes mesmo que pudesse ter sido explorado por agentes maliciosos. Em comunicado, o TikTok agradeceu o trabalho dos pesquisadores de segurança e disse continuar trabalhando na melhoria de seus sistemas de proteção e detecção de ameaças, além de agir ao lado de especialistas na localização de vulnerabilidades que possam ser resolvidas antes de um possível mau uso.

Como o próprio relato da Check Point indica, porém, esta não é a primeira vez que uma vulnerabilidade desse tipo é encontrada no TikTok. Em agosto do ano passado, por exemplo, uma brecha descoberta pela mesma empresa de segurança permitia a manipulação de perfis, incluindo a publicação de vídeos em nome de terceiros, assim como a extração de dados pessoais dos utilizadores.

São tais problemas, aliados à alta popularidade do aplicativo, que levaram a Check Point a olhar a rede social com mais atenção e realizar verificações periódicas de segurança em busca de problemas que possam ser resolvidos antes de uma exploração maliciosa. Afinal de contas, estamos falando de uma plataforma que se aproxima da marca do 1 bilhão de usuários ativos todos os meses, o que também a torna um prato cheio e altamente suculento para hackers em busca de bancos de dados extensos ou tentativas de golpe envolvendo um grande número de vítimas em potencial.

Fonte: CNET, Check Point