Uno Social Captain error amenaza la seguridad de miles de usuarios de Instagram
Para muchos, Instagram es una forma de usar filtros y efectos modernos para mostrar a todos tus amigos lo sabrosa que es tu ensalada. Para otros, sin embargo, Instagram es fundamental para su empresa de hacer dinero, y deben asegurarse de que sus publicaciones lleguen a la mayor cantidad de personas posible. Aquí es donde entran en juego servicios como Social Captain.
El discurso de marketing en el sitio web de Social Captain habla sobre el uso de la inteligencia artificial para aumentar "orgánicamente" su influencia en Instagram, pero podría argumentar que la realidad es un poco más directa. La idea es que Social Captain te ayude a ganar seguidores al interactuar con varias publicaciones y páginas de Instagram en tu nombre. Puede elegir su público objetivo, y depende de usted elegir qué tipo de actividad puede realizar Social Captain a través de su cuenta. Sin embargo, sea cual sea su elección, Social Captain debe estar conectado a su perfil de Instagram, y desafortunadamente, aquí es donde las cosas salieron mal recientemente.
Social Captain expuso las credenciales de inicio de sesión de Instagram en texto sin formato
Hay que decir que los usuarios conscientes de la seguridad pueden no sentirse impresionados con Social Captain desde el principio. Al momento de escribir, los navegadores modernos advierten que partes del sitio web de Social Captain no se entregan a través de HTTPS, lo que significa que no toda la información que envía y recibe está encriptada. En la actualidad, esto no está mal visto por la comunidad de seguridad sino también por algunos usuarios. Sin embargo, un investigador de seguridad que pidió permanecer en el anonimato descubrió recientemente otro problema que era mucho más apremiante.
Se pusieron en contacto con Zack Whittaker de TechCrunch y explicaron que las personas que habían conectado sus cuentas de Instagram al servicio de aumento de popularidad podían ver sus credenciales de inicio de sesión en la red social dentro del código fuente de su página de perfil de Social Captain. Whittaker conectó una cuenta de Instagram desechable a un perfil recién creado de Social Captain y logró confirmar los hallazgos en cuestión de minutos.
Decir que esto no es ideal sería quedarse corto. Significaría que, en las circunstancias correctas (no ha cerrado la sesión de su cuenta de Social Captain y un atacante obtiene acceso a su dispositivo), su contraseña estará a solo un par de clics de distancia. El error también significaba que Social Captain podía ver tu contraseña de Instagram, lo que no se supone que suceda. Las aplicaciones que integre con sus perfiles de redes sociales generalmente funcionan con la ayuda de tokens de acceso, y si bien obtienen acceso a ciertas partes de su cuenta, las credenciales de inicio de sesión normalmente permanecen fuera de los límites.
Los hallazgos fueron preocupantes, pero luego el investigador anónimo reveló otro error que empeoró las cosas.
Un error de Social Captain permitió raspar la información personal de los usuarios de Instagram
Por diseño, su página de perfil de Social Captain solo debe ser accesible después de la autenticación, lo que significa que incluso si sus credenciales se almacenan en la fuente de la página, las posibilidades de un ataque en la naturaleza son algo escasas. Sin embargo, el investigador descubrió que una falla les permite ver los perfiles de Social Captain de completos extraños sin adivinar o comprometer sus contraseñas.
En cambio, el experto simplemente cambió la ID de la cuenta en la dirección web. Esto pone automáticamente en riesgo las cuentas de Instagram de los usuarios porque sus datos de inicio de sesión se almacenaron en la fuente de la página de las páginas de perfil de Social Captain. Para empeorar las cosas, según Whittaker, las identificaciones de las cuentas eran principalmente secuenciales, lo que abrió la posibilidad de un ataque de enumeración de recursos.
Para probar esto, el investigador de seguridad le presentó a Whittaker una hoja de cálculo que contenía la información de aproximadamente 10 mil usuarios de Social Captain. Para poco menos de la mitad de ellos, los datos raspados incluían nombres de usuario y contraseñas de Instagram.
Afortunadamente, parece que los cibercriminales no lograron llegar a la vulnerabilidad de Social Captain ante el investigador de seguridad. Con la ayuda de Whittaker, el experto reveló el agujero, que ahora ha sido tapado. Social Captain le dijo a TechCrunch que está investigando el asunto y alertará a los usuarios potencialmente afectados lo antes posible.
Instagram también está investigando. La red para compartir fotos dijo que el manejo inseguro de Social Captain de las credenciales de inicio de sesión de las personas podría ser una violación de sus términos de servicio. Aunque no hay nada que sugiera que el error ha sido explotado, se recomienda a todos los usuarios de Social Captain que cambien sus contraseñas de Instagram por si acaso.
Como para cualquier otra persona, esta historia debería ser otro recordatorio de las posibles implicaciones de conectar cuentas de redes sociales a aplicaciones y servicios de terceros.
