Un error en la app, que afectó a usuarios de Android, dejaba abierta la posibilidad de tomar el control del perfil de los tiktokers.
Una falla detectada en TikTok podría haber permitido a piratas informáticos secuestrar las cuentas de los usuarios de la aplicación de videos cortos con un solo clic, acceder a los perfiles y hasta tomar control de todo lo referido al perfil del tiktoker, como subir videos, borrarlos y enviar mensajes privados.
Según informaron este miércoles investigadores de Microsoft, la falla de seguridad, identificada como CVE-2022-28799, afectó a quienes tienen instalada la aplicación en sistemas operativos Android.
El fallo alteró la forma en que TikTok programaba lo que se conoce como deeplinking, una función de Android que permite a las aplicaciones manejar los enlaces dentro de las plataformas. El deeplinking se utiliza cuando, por ejemplo, una aplicación se abre automáticamente después de que el usuario haya hecho clic en un botón dentro de Chrome.
Una vez con el control de la cuenta, los hackers podrían haber utilizado esta falla para subir videos y enviar mensajes en nombre de los usuarios, así como acceder a información sensible, como clips privados o directamente cerrar la cuenta.
A pesar de que la vulnerabilidad no era especialmente sencilla -requeriría que los atacantes descubrieran varios agujeros en el código y ejecutaran diferentes comandos-, caer en la trampa sí lo era: con solo un clic en un enlace malicioso los tiktokers podrían perder el control y acceso a su cuenta.
Microsoft no dio detalles sobre el alcance final de la vulnerabilidad al no haber encontrado pruebas suficientes ni denuncias graves de usuarios afectados específicamente con la falla CVE-2022-28799. Por su parte, TikTok tampoco hizo comentarios al respecto.
