Sikkherhedsfirmaet Check Point Software Technologies har i en ny undersøgelse opdaget en række sikkerhedshuller, der potentielt har krænket privatlivet hos en lang række brugere af den kinesiske video-app TikTok. I Danmark er der op mod 200.000 unge helt ned til tiårsalderen, der bruger videodelingsappen, og som alle har været i risiko for at have fået hacket deres personlige oplysninger.
Teenagere og børn bruger primært applikationen til at dele, gemme og opbevare private (og sommetider meget følsomme) videoer af dem selv og deres kære. Check Points eksperter fandt i undersøgelsen ud af, at en hacker kunne sende en forfalsket SMS-besked, der indeholdt ondsindede links, til en bruger af TikTok. Når brugeren klikkede på det ondsindede link, ville hackeren have mulighed for at tilgå TikTok kontoen og manipulere dens indhold ved at slette videoer, uploade uautoriserede videoer og offentliggøre private eller “gemte” videoer.
Appen er tilgængelig på over 150 markeder og 75 sprog globalt, og med over en milliard brugere, er TikTok med sikkerhed en af de mest downloadede apps og trending apps lige nu. I oktober 2019, var TikTok den mest downloadede app i USA, hvilket gør den til den første kinesiske app, der opnår sådan en titel.
“TikTok er lige nu et af de mest populære sociale medieapplikationer i verden, specielt hos børn og unge. Vores seneste undersøgelse viser dog, at selv de mest populære apps stadig er i fare og sårbare overfor angreb fra hackere. Sårbarhederne vi har fundet, giver hackere adgang til en masse private informationer, som i dette tilfælde også potentielt involverer mange mindreårige helt ned til 10 år, som ofte slet ikke er opmærksomme på denne type af trusler og er lette ofre for hackerne. Problemet er, at de fleste brugere antager, at de er beskyttet af den app, de anvender. Det er derfor vigtigt, at vi lærer vores børn om sikker adfærd på nettet, og ikke klikker på links de ikke kender,” siger Oded Vanunu, Check Points Head of Product Vulnerability Research.
Undersøgelsen opdagede også, at TikToks underdomæne https://ads.tiktok.com var sårbart over for XSS angreb, som er en type af angreb, hvor ondsindede koder puttes ind på ellers godartede og betroede hjemmesider. Check Point eksperter udnyttede denne sårbarhed til at hente personlige informationer gemt på brugerkonti, inklusiv private e-mailadresser og fødselsdage.
Sikkerhedshullet er lukket
Check Point har informeret TikToks udviklere om sårbarhederne, der er afdækket i undersøgelsen, hvorefter en ny opdateret version med rettelser blev iværksat for at sikre, at TikToks brugere sikkert kan fortsætte med at bruge den populære app.
“TikTok er forpligtet til at beskytte brugernes data. Som mange andre organisationer, opfordrer vi ansvarlige sikkerhedseksperter til personligt at fortælle os, hvis der er nogen nul-dags sårbarheder vi bør forholde os til. Før den offentlige afsløring, indvilligede Check Point i, at alle rapporterede problemer var ordnet i den seneste version af vores app. Vi håber, at dette afsluttede forløb vil resultere i fremtidigt samarbejde med sikkerhedseksperter, såsom Check Point.” siger Luke Deshotels, PhD, TikTok, IT-sikkerhedshold.
