En Genbeta ya os hemos hablado alguna vez de Snapchat, una aplicación para enviar imágenes y vídeos temporales a amigos. Los usuarios pueden tener una cierta sensación de privacidad al usarlo, algo muy lejos de la realidad según el informe de Gibson Security.
Este grupo de investigadores se puso en contacto con Snapchat en agosto sobre ciertos fallos de seguridad en su aplicación. La startup les ignoró por completo y la respuesta es la que tenía que ser: full disclosure. Es decir, que Gibson Security ha hecho públicos esos fallos de seguridad, con exploits para aprovecharlos y con una documentación completa de la API.
El primer fallo es que la API tiene una función para la cuenta de Snapchat vinculada a un cierto número de teléfono, sin ningún tipo de límite. Con un programa muy sencillo se pueden ir probando rangos de números y extrayendo las cuentas asociadas. Y como Snapchat no pone un límite, puedes hacer todas las peticiones que quieras. Gibson Security estima que en 20 horas se podrían probar 8 millones de números telefónicos.
De la misma forma, Snapchat tampoco restringe el registro de nuevas cuentas. Un atacante puede crearse miles de cuentas en poco tiempo y aprovecharlas para llenar de spam Snapchat. E igual que antes, el código necesario apenas ocupa unas pocas líneas.
Lo peor de todo es que estos fallos también podrían usarse para conseguir un registro de los usuarios y vincularlos a perfiles en otras redes sociales. No estamos hablando sólo de fallos de seguridad sino de un agujero de privacidad importante, que probablemente atraerá a más de un spammer: una base de datos de teléfonos y usuarios de Snapchat es muy jugosa, todo un premio gordo.
¿Por qué ha decidido Gibson Security publicar todos estos datos? Según han declarado en ZDNet, han acabado hartos de Snapchat por ignorar a la comunidad de seguridad y atacar a los clientes libres (open source) de Snapchat. Además, para corregir los fallos sólo hace falta un cambio mínimo, establecer un límite de peticiones a la API, y el hecho de que en cuatro meses no se haya cambiado demuestra para Gibson que Snapchat ni se preocupa por su seguridad. Si bien es cierto que poca gente se plantea Snapchat como un sistema de mensajería seguro, no estaría nada mal que tuviesen algo más en cuenta estos fallos, que no sólo les afectan a ellos sino también a sus usuarios.
Vía | ZDNet Más información | Gibson Security
Ver 4 comentarios