Microsoft salva a los usuarios de TikTok después de informar una vulnerabilidad que conduce al “secuestro de cuenta con un solo clic”
Mientras el mundo está ocupado disfrutando de la locura por la aplicación TikTok, los usuarios de la famosa plataforma para compartir videos no tienen idea de que casi fueron víctimas de una vulnerabilidad que podría haber permitido a los malos actores violar sus cuentas hace meses. Afortunadamente, se evitó antes de que los malos actores lo notaran después. microsoft Lo informó a TikTok, que lo resolvió de inmediato.
Microsoft detectó la vulnerabilidad denominada “CVE-2022-28799” y la informó a TikTok en febrero pasado a través de su Divulgación coordinada de vulnerabilidades (CVD) a través de Microsoft Security Vulnerability Research (MSVR). Según el gigante tecnológico, el problema tenía un estado de gravedad alta con una puntuación de 8,3.
Aunque no se encontró evidencia de que CVE-2022-28799 haya sido explotado en la naturaleza, la vulnerabilidad puso en peligro miles de millones de cuentas de usuarios de TikTok. Específicamente, el problema involucró a los usuarios de la aplicación en Android, que tiene diferentes variantes con instalaciones combinadas de más de 1.500 millones de descargas en Google Play Store. De tener éxito, podría haber permitido a los malos actores ingresar a diferentes cuentas, publicar videos y ver videos privados, leer los mensajes del usuario, recuperar datos de la cuenta e incluso modificar la configuración.
El ataque puede comenzar cuando un usuario hace clic en un “enlace malicioso especialmente diseñado”. Según Microsoft, esto fue posible cuando se descubrió que CVE-2022-28799 permitía eludir la verificación de enlaces profundos de la aplicación TikTok. “Los atacantes podrían obligar a la aplicación a cargar una URL arbitraria en WebView de la aplicación, permitiendo que la URL acceda a los puentes JavaScript adjuntos de WebView y otorgue funcionalidad a los atacantes”, explicó el equipo de investigación de Microsoft 365 Defender en su entrada en el blog.
Con esto, Microsoft alentó a los usuarios a evitar escenarios similares observando algunas pautas de seguridad, como ignorar enlaces de fuentes no confiables, actualizar periódicamente dispositivos y aplicaciones, evitar instalaciones de aplicaciones de fuentes no confiables e informar. Además, la empresa elogió la rápida acción realizada por TikTok y subrayó la importancia de la colaboración.
“Este caso muestra cómo la capacidad de coordinar la investigación y el intercambio de inteligencia sobre amenazas a través de la colaboración de expertos entre industrias es necesaria para mitigar los problemas de manera efectiva”, dijo Microsoft. “A medida que las amenazas entre plataformas continúan creciendo en número y sofisticación, se necesitan divulgaciones de vulnerabilidades, respuestas coordinadas y otras formas de intercambio de inteligencia sobre amenazas para ayudar a proteger la experiencia informática de los usuarios, independientemente de la plataforma o dispositivo en uso. Continuaremos trabajando con la comunidad de seguridad en general para compartir investigaciones e inteligencia sobre amenazas en el esfuerzo por construir una mejor protección para todos”.
A pesar de esto, los problemas causados por vulnerabilidades no son los únicos problemas de seguridad que enfrentan los usuarios de TikTok. Muchos cuestionan la reputación de ByteDance y TikTok debido a informes de que el gobierno chino los utiliza para sus propias agendas. Aparte de un informe Al decir que los empleados de TikTok accedieron repetidamente a los datos de los usuarios estadounidenses desde China, surgió una nueva preocupación después de que se descubrió que algunos perfiles de LinkedIn de los trabajadores de TikTok muestran que están trabajando simultáneamente para los medios estatales chinos.
