Un TikTok populaire peut être exploité avec un SMS usurpé

20160817_chkp_graphic

Note de l'éditeur: La révolution TikTok qui a supplanté une grande partie des autres médias sociaux tels que Facebook et Instagram en Asie, peut avoir un côté plus sombre, où les pirates peuvent l'exploiter avec un message SMS falsifié, comme l'a révélé Check Point Research. Le communiqué de presse du fournisseur se trouve ci-dessous.

Check Point Research révèle de multiples vulnérabilités dans TikTok

SINGAPOUR, @mcgallen #microwireinfo, 9 janvier 2020 - Check Point Research, la branche Threat Intelligence de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), l'un des principaux fournisseurs de solutions de cybersécurité au niveau mondial, a révélé aujourd'hui qu'il avait découvert de multiples vulnérabilités dans TikTok qui auraient pu permettre aux attaques de manipuler le contenu des comptes d'utilisateurs et même d'extraire des informations personnelles confidentielles enregistrées sur ces comptes.

TikTok est principalement utilisé par les adolescents et les enfants qui utilisent cette application pour partager, enregistrer et conserver des vidéos privées (et parfois très sensibles) d'eux-mêmes et de leurs proches. La recherche a révélé qu'un attaquant pouvait envoyer un message SMS usurpé à un utilisateur contenant un lien malveillant. Lorsque l'utilisateur a cliqué sur le lien malveillant, l'attaquant a pu mettre la main sur le compte TikTok et manipuler son contenu en supprimant des vidéos, en téléchargeant des vidéos non autorisées et en rendant publiques des vidéos privées ou «cachées».

La recherche a également révélé que le sous-domaine de Tiktok https://ads.tiktok.com était vulnérable aux attaques XSS, un type d'attaque dans lequel des scripts malveillants sont injectés dans des sites Web par ailleurs bénins et de confiance. Les chercheurs de Check Point ont exploité cette vulnérabilité pour récupérer les informations personnelles enregistrées sur les comptes d'utilisateurs, y compris les adresses e-mail privées et les dates de naissance.

Check Point Research a informé les développeurs de TikTok des vulnérabilités exposées dans cette recherche et un correctif a été déployé de manière responsable pour garantir que ses utilisateurs peuvent continuer à utiliser l'application TikTok en toute sécurité.

«Les données sont omniprésentes, mais les violations de données deviennent une épidémie, et nos dernières recherches montrent que les applications les plus populaires sont toujours menacées», a déclaré Oded Vanunu, responsable de la recherche sur la vulnérabilité des produits chez Check Point. «Les applications de médias sociaux sont très ciblées pour les vulnérabilités car elles fournissent une bonne source de données privées et offrent une bonne porte de surface d'attaque. Les acteurs malveillants dépensent de grosses sommes d'argent et font de gros efforts pour pénétrer dans des applications aussi énormes. Pourtant, la plupart des utilisateurs partent du principe qu'ils sont protégés par l'application qu'ils utilisent. »

Luke Deshotels, PhD, équipe de sécurité TikTok: «TikTok s'engage à protéger les données des utilisateurs. Comme de nombreuses organisations, nous encourageons les chercheurs en sécurité responsables à nous divulguer en privé les vulnérabilités Zero Day. Avant la divulgation publique, CheckPoint a convenu que tous les problèmes signalés étaient corrigés dans la dernière version de notre application. Nous espérons que cette résolution réussie encouragera la collaboration future avec les chercheurs en sécurité. »

Disponible sur plus de 150 marchés, utilisé dans 75 langues dans le monde et avec plus d'un milliard d'utilisateurs, TikTok est certainement l'une des applications les plus téléchargées. En octobre 1, TikTok est l'application la plus téléchargée aux États-Unis, ce qui en fait la première application chinoise à avoir atteint un tel record.

Plus d'information sur la recherche est disponible sur le blog de Check Point Research.

À propos de Check Point Research
Check Point Research fournit des renseignements de pointe sur les cybermenaces aux clients de Check Point Software et à l'ensemble de la communauté du renseignement. L'équipe de recherche recueille et analyse les données mondiales de cyber-attaque stockées sur ThreatCloud pour tenir les pirates à distance, tout en s'assurant que tous les produits Check Point sont mis à jour avec les dernières protections. L'équipe de recherche se compose de plus de 100 analystes et chercheurs qui coopèrent avec d'autres fournisseurs de sécurité, les forces de l'ordre et divers CERT.

Suivez Check Point Research via:

À propos de Check Point Software Technologies Ltd.Check Point Software Technologies Ltd. (www.checkpoint.com) est l'un des principaux fournisseurs de solutions de cybersécurité aux gouvernements et aux entreprises du monde entier. Les solutions de Check Point protègent les clients des cyberattaques de 5e génération avec un taux de capture de logiciels malveillants, de ransomwares et de menaces ciblées avancées. Check Point propose une architecture de sécurité à plusieurs niveaux, «Infinity Total Protection with Gen V Advanced Threat Prevention», cette architecture de produit combinée défend le cloud, le réseau et les appareils mobiles d'une entreprise. Check Point fournit le système de gestion de la sécurité à un point de contrôle le plus complet et intuitif. Check Point protège plus de 100,000 XNUMX organisations de toutes tailles.

###