Check Point 揭抖音資安漏洞!帳號可能被盜、個資外露,籲使用者儘速更新

抖音 TikTok 最近被資安公司通報數個漏洞,並在最新版本已經修補,呼籲使用者最好儘速更新。
評論
Check Point 提供
Check Point 提供
評論

以下內容取自 Check Point 新聞稿,經 INSIDE 編審後刊出。

網路安全解決方案廠商 Check Point Software Technologies Ltd. 威脅情報部門 Check Point Research 今日揭露高人氣短影音平台 TikTok 的多項資安漏洞,包含允許攻擊者操縱使用者帳戶內容,甚至竊取保存在其中的個人機密資訊。 

TikTok 使用者以青少年和兒童為主,他們用來分享、儲存自己及親友的私人影片,有時也涵蓋非常敏感的內容。Check Point Research 發現,攻擊者可以向使用者發送一則包含惡意連結的偽造訊息。一旦使用者點擊這條惡意連結,攻擊者便能控制其 TikTok 帳戶並進行各種惡意操作,如刪除影片、上傳未經授權的影片以及將私人或「隱藏」影片公開等。

除此之外,TikTok 的子網域 https://ads.tiktok.com 很容易受到跨站指令碼(XSS)攻擊,這類攻擊是透過將惡意網頁程式碼(Malicious Script)植入原本安全可信的網站中進行的。Check Point 研究人員利用這一漏洞即搜尋到了使用者帳戶中的個人資訊,包括個人電子信箱和生日。 

Check Point Research 向 TikTok 開發人員揭露了這次發現的漏洞,TikTok 也已發布了修補程式,確保其使用者可以繼續安全地使用 TikTok。

Check Point 產品漏洞研究主管 Oded Vanunu 表示:「資料無處不在,但外洩事件卻頻繁發生,我們最新研究指出,一些最受歡迎的應用程式也在劫難逃。社群媒體應用程式極易遭到漏洞攻擊,因其擁有大量的私人資料及大面積的攻擊範圍。攻擊者正在花高成本、下大功夫向這些使用者量龐大的應用程式發起攻擊,但大多數使用者仍認為自己使用的應用程式非常安全。」 

TikTok 安全團隊 Luke Deshotels 博士表示:「TikTok 高度重視使用者資料安全。跟許多企業一樣,我們鼓勵負責的安全研究人員向我們秘密揭發零時差漏洞;在公開漏洞之前,Check Point 已確認最新版 TikTok 修復了這次所有發現的問題。我們希望透過這次順利化解危機,能促進未來更多類似的安全合作機會。」

TikTok 覆蓋全球 150 多個國家和地區,提供 75 種語言,使用者數量超過 10 億,是下載次數最多的應用程式之一。截至 2019 年 10 月,TikTok 為美國應用程式下載量排行榜榜首,是第一個創造此記錄的中國應用程式。

有關這項研究的更多資訊,請查看 Check Point Research 部落格

責任編輯:Mia