Microsoft, "tek tıklamayla hesap ele geçirmeye" yol açan güvenlik açığını bildirdikten sonra TikTok kullanıcılarını kurtarıyor

Dünya TikTok uygulaması çılgınlığının tadını çıkarmakla meşgulken, ünlü video paylaşım platformunun kullanıcıları, kötü oyuncuların aylar önce hesaplarını ihlal etmesine izin verebilecek bir güvenlik açığına neredeyse kurban olacaklarından habersizler. Neyse ki sonrasında kötü oyuncular tarafından fark edilmeden önlendi. Microsoft hemen çözen TikTok'a bildirdi.

Microsoft, "CVE-2022-28799" etiketli güvenlik açığını tespit etti ve bunu Microsoft Güvenlik Açığı Araştırması (MSVR) aracılığıyla Koordineli Güvenlik Açığı Açıklaması (CVD) aracılığıyla geçen Şubat ayında TikTok'a bildirdi. Teknoloji devine göre, sorunun 8.3 puanla yüksek önem derecesi vardı.

CVE-2022-28799'un vahşi doğada istismar edildiğine dair hiçbir kanıt bulunamamasına rağmen, güvenlik açığı milyarlarca TikTok kullanıcı hesabını tehlikeye attı. Özellikle sorun, Google Play Store'da 1.5 milyardan fazla indirmenin birleştirilmiş kurulumları ile farklı varyantları olan uygulamanın Android kullanıcılarını içeriyordu. Başarılı olursa, kötü aktörlerin farklı hesaplara girmesine, videolar yayınlamasına ve özel olanları görüntülemesine, kullanıcının mesajlarını okumasına, hesap verilerini almasına ve hatta ayarları değiştirmesine izin verebilirdi.

Saldırı, bir kullanıcı "özel olarak hazırlanmış kötü amaçlı bir bağlantıya" tıkladığında başlayabilir. Microsoft'a göre, CVE-2022-28799'un TikTok uygulamasının derin bağlantı doğrulamasının atlanmasına izin verdiği keşfedildiğinde mümkün oldu. Microsoft 365 Defender Araştırma Ekibi, "Saldırganlar, uygulamayı uygulamanın Web Görünümüne rastgele bir URL yüklemeye zorlayabilir ve URL'nin daha sonra Web Görünümü'nün ekli JavaScript köprülerine erişmesine ve saldırganlara işlevsellik vermesine izin verebilir" dedi. blog yazısı.

Bununla Microsoft, güvenilmeyen kaynaklardan gelen bağlantıları yok saymak, cihazları ve uygulamaları düzenli olarak güncellemek, güvenilmeyen kaynaklardan uygulama yüklemelerinden kaçınmak ve raporlama gibi bazı güvenlik yönergelerini gözlemleyerek kullanıcıları benzer senaryoları önlemeye teşvik etti. Ayrıca şirket, işbirliğinin öneminin altını çizerken TikTok'un gerçekleştirdiği hızlı eylemi övdü.

Microsoft, "Bu vaka, sorunları etkin bir şekilde azaltmak için uzmanlar, sektörler arası işbirliği yoluyla araştırma ve tehdit istihbaratı paylaşımını koordine etme yeteneğinin nasıl gerekli olduğunu gösteriyor" dedi. “Platformlar arasındaki tehditlerin sayısı ve karmaşıklığı artmaya devam ettikçe, kullanılan platform veya cihaz ne olursa olsun, kullanıcıların bilgi işlem deneyiminin güvenliğini sağlamaya yardımcı olmak için güvenlik açığı açıklamaları, koordineli yanıt ve diğer tehdit istihbaratı paylaşımı biçimlerine ihtiyaç duyulmaktadır. Herkes için daha iyi koruma sağlamak amacıyla tehditler hakkında araştırma ve istihbarat paylaşmak için daha geniş güvenlik topluluğuyla birlikte çalışmaya devam edeceğiz.”

Buna rağmen, TikTok kullanıcılarının karşılaştığı tek güvenlik sorunu güvenlik açıklarından kaynaklanan sorunlar değildir. ByteDance ve TikTok, Çin hükümeti tarafından kendi gündemleri için kullanıldığına dair raporlar nedeniyle birçok kişi tarafından sorgulanıyor. dışında bir rapor TikTok çalışanlarının Çin'den ABD kullanıcı verilerine defalarca eriştiğini söylerken, bazı TikTok çalışanlarının LinkedIn profilleri Çin devlet medyası için aynı anda çalıştıklarını gösteriyor.