Esta semana, atacantes secuestraron cuentas de TikTok pertenecientes a múltiples empresas y celebridades, explotando una vulnerabilidad de día cero en la función de mensajes directos de la plataforma. Las cuentas afectadas incluyeron las de Sony, CNN y Paris Hilton, que tuvieron que ser eliminadas para evitar abusos.
Exploit mediante mensaje directo
Según informes publicados por Forbes, el ataque se llevó a cabo mediante un exploit que solo requiere que los objetivos abran el mensaje malicioso, sin necesidad de descarga de carga útil ni clic en enlaces incrustados. La cuenta de CNN fue la primera en ser secuestrada, como informó Semaphor el domingo.
Respuesta de TikTok
Alex Haurek, portavoz de TikTok, declaró a Forbes que «nuestro equipo de seguridad es consciente de un posible exploit dirigido a varias cuentas de marcas y celebridades». Añadió que la compañía ha tomado medidas para detener el ataque y evitar su repetición en el futuro. Además, está trabajando directamente con los propietarios de las cuentas afectadas para restaurar el acceso si es necesario.
Impacto limitado
Según Haurek, los atacantes solo han comprometido una cantidad muy pequeña de cuentas de TikTok. La compañía aún no ha revelado el número exacto de usuarios afectados ni ha compartido detalles sobre la vulnerabilidad explotada hasta que se solucione la falla subyacente.
Historial de vulnerabilidades en TikTok
Esta no es la primera vez que una vulnerabilidad afecta a los usuarios de TikTok. En agosto de 2022, la compañía corrigió una falla descubierta por Microsoft en su aplicación para Android que permitía a los atacantes apoderarse de cuentas «rápida y silenciosamente» con un solo toque.
Protección de privacidad
TikTok también solucionó errores de seguridad que permitían a los atacantes eludir las protecciones de privacidad de la plataforma y robar información privada de los usuarios, incluidos números de teléfono e identificaciones de usuarios.
Secuestro de cuentas
La compañía también solucionó vulnerabilidades que permitían a los actores de amenazas secuestrar las cuentas de los usuarios que se registraron a través de aplicaciones de terceros y comprometer cuentas para manipular los videos de los propietarios.