Το TikTok αρνείται πρόσφατους ισχυρισμούς σχετικά με παραβίαση της πλατφόρμας του και κλοπή του source code και δεδομένων των χρηστών.
Πριν μερικές ημέρες, δημοσιεύτηκαν σε ένα hacking forum δεδομένα που υποτίθεται ότι ανήκαν στο TikTok, αλλά η κινεζική εταιρεία ByteDance, στην οποία ανήκει το TikTok, είπε ότι αυτά τα δεδομένα ήταν “εντελώς άσχετα” με την εταιρεία.
Πίσω από αυτή τη διαρροή δεδομένων βρίσκεται μια hacking ομάδα γνωστή ως “AgainstTheWest“, η οποία την Παρασκευή δημιούργησε ένα νέο topic σε ένα hacking forum και ισχυρίστηκε ότι είχε δεδομένα τόσο του TikTok όσο και του WeChat. Η ομάδα μοιράστηκε screenshots μιας υποτιθέμενης βάσης δεδομένων που ανήκε στις εταιρείες και περιείχε δεδομένα χρηστών.
Οι hackers είπαν ότι έχουν στη διάθεσή τους μια τεράστια βάση δεδομένων 790 GB που περιέχει δεδομένα χρήστη, στατιστικά στοιχεία πλατφόρμας, κώδικα λογισμικού, cookies, auth tokens, πληροφορίες διακομιστή και πολλά άλλα.
Δείτε επίσης: Ο in-app browser του TikTok παρακολουθεί κάθε σας κίνηση
Ενώ το όνομα AgainstTheWest μπορεί να ακούγεται σαν η ομάδα hacking να στοχεύει δυτικές χώρες, στην πραγματικότητα οι hackers ισχυρίζονται ότι στοχεύουν μόνο χώρες και εταιρείες εχθρικές προς τα δυτικά συμφέροντα.
“Μην αφήσετε το όνομα να σας μπερδέψει, η ATW στοχεύει χώρες που θεωρεί ότι αποτελούν απειλή για τη δυτική κοινωνία, επί του παρόντος στοχεύει την Κίνα και τη Ρωσία και έχει σχέδια να στοχεύσει τη Βόρεια Κορέα, τη Λευκορωσία και το Ιράν στο μέλλον“, εξηγεί ο ερευνητής κυβερνοασφάλειας CyberKnow.
Το TikTok αρνείται ισχυρισμούς για παραβίαση και κλοπή δεδομένων
Το TikTok είπε στο BleepingComputer ότι οι ισχυρισμοί για παραβίαση της εταιρείας δεν είναι αληθείς. Επιπλέον, η εταιρεία είπε ότι ο source code που έχει διαρρεύσει στο hacking forum δεν αποτελεί μέρος της πλατφόρμας της.
“Αυτός είναι ένας εσφαλμένος ισχυρισμός — η ομάδα ασφαλείας μας ερεύνησε αυτήν τη δήλωση και διαπίστωσε ότι ο εν λόγω κώδικας δεν σχετίζεται καθόλου με τον backend source code του TikTok, ο οποίος δεν έχει συγχωνευθεί ποτέ με δεδομένα του WeChat“, δήλωσε το Twitter.
Επίσης, η δημοφιλής εφαρμογή τόνισε ότι τα δεδομένα χρήστη που διέρρευσαν δεν θα μπορούσαν κλαπούν εύκολα από την πλατφόρμα, καθώς η εταιρεία διαθέτει επαρκείς δικλείδες ασφαλείας που εμποδίζουν τα αυτοματοποιημένα scripts να συλλέγουν πληροφορίες χρήστη.
Αξίζει να σημειωθεί ότι το WeChat και το TikTok είναι δύο κινεζικές εφαρμογές, που δεν ανήκουν στην ίδια μητρική εταιρεία. Το WeChat ανήκει στην Tencent και το TikTok στην ByteDance. Επομένως, η εμφάνιση και των δύο σε μια ενιαία βάση δεδομένων δείχνει ότι δεν ήταν άμεση παραβίαση σε κάθε πλατφόρμα (TikTok και WeChat).
Πιθανότατα, η απροστάτευτη βάση δεδομένων δημιουργήθηκε από third-party data scraper ή broker που συγκέντρωσε δημόσια δεδομένα και από τις δύο υπηρεσίες και τα αποθήκευσε σε μια ενιαία βάση δεδομένων.
Δείτε επίσης: Zero-day ελάττωμα του Google Chrome: Κάντε update άμεσα
Οι δύο εταιρείες βρίσκονται συνεχώς στο επίκεντρο ερευνών από τις εθνικές υπηρεσίες, επομένως η εύρεση μιας βάσης δεδομένων που περιέχει δεδομένα και των δύο εταιρειών εγείρει υποψίες.
Ο Troy Hunt, ο δημιουργός της υπηρεσίας ειδοποίησης παραβίασης δεδομένων HaveIBeenPwned, επιβεβαίωσε σε ένα thread στο Twitter ότι ορισμένα από τα δεδομένα ήταν έγκυρα. Ωστόσο, ο Hunt βρήκε δεδομένα που είναι δημόσια διαθέσιμα στο TikTok.
Ο ειδικός, όμως, σημειώνει ότι η βάση δεδομένων έχει όντως κάποιες εσωτερικές πληροφορίες πλατφόρμας. Αυτές οι πληροφορίες δεν είναι ακριβώς χρήσιμες, αλλά αν αληθεύουν, σημαίνει ότι υπάρχει παραβίαση ασφαλείας στο TikTok.
Ομοίως, ο “κυνηγός βάσεων δεδομένων” Bob Diachenko έχει επικυρώσει τα δεδομένα χρήστη που διέρρευσαν ως πραγματικά, αλλά δεν μπόρεσε να δώσει συγκεκριμένα συμπεράσματα σχετικά με την προέλευση των δεδομένων.
Εάν η περαιτέρω ανάλυση αποκαλύψει ότι τα δεδομένα είναι νόμιμα, το TikTok θα αναγκαστεί να λάβει μέτρα για να μετριάσει τις επιπτώσεις της διαρροής, ακόμη και αν δεν παραβιάστηκε.
Αξίζει πάντως να σημειωθεί ότι μόλις λίγες μέρες νωρίτερα, η Microsoft είπε ότι βρήκε μια σοβαρή ευπάθεια στην Android έκδοση του TikTok, “η οποία θα επέτρεπε στους εισβολείς να παραβιάσουν τους λογαριασμούς των χρηστών με ένα μόνο κλικ“.
Μάθετε περισσότερα: TikTok Android: Ευπάθεια επέτρεπε την παραβίαση λογαριασμών
Ένας εκπρόσωπος του TikTok είπε ότι η εταιρεία ανταποκρίθηκε γρήγορα στα ευρήματα της Microsoft και διόρθωσε το ελάττωμα ασφαλείας, το οποίο εντοπίστηκε “σε ορισμένες παλαιότερες εκδόσεις της εφαρμογής Android“.
Πηγή: www.bleepingcomputer.com