Брешь позволяет взламывать аккаунты Tinder с помощью номера телефона

Брешь позволяет взламывать аккаунты Tinder с помощью номера телефона

Брешь позволяет взламывать аккаунты Tinder с помощью номера телефона

Обнаруженная экспертом уязвимость позволяет взломать аккаунты Tinder с помощью номера телефона. Как утверждает специалист, злоумышленникам может понадобиться всего несколько секунд для получения полного контроля над профилем жертвы.

Благодаря использованию этой бреши киберпреступники могут получить доступ к личной информации, чатам и даже общаться с другими пользователями сервиса для знакомств от лица жертвы.

Ананд Пракаш (Anand Prakash), обнаруживший баг исследователь, пишет, что брешь существует в Facebook Account Kit. Facebook Account Kit представляет собой программное обеспечение, позволяющее проходить процедуру авторизации без ввода пароля. Таким образом, злоумышленник мог получить доступ к учетной записи при помощи одного номера телефона.

Оказалось, что разработчики Tinder встроили Facebook Account Kit в свое приложение. На данный момент неизвестно, сколько именно пользователей пострадали от эксплуатации этой уязвимости.

Для использования бреши атакующий должен ввести номер телефона жертвы в «new_phone_number» в API-запросе.

«Обратите внимание, что Account Kit не верифицирует номер телефона с помощью одноразового пароля. Злоумышленник может ввести любой номер телефона и попасть в учетную запись», — пишет эксперт.

Исследователь опубликовал видео, в котором продемонстрирована схеме подобной атаки:

Пракаш сообщил об обнаруженной проблеме разработчикам Facebook и Tinder, которые, к их чести, быстро устранили этот критический недостаток.

Напомним, что ранее мы писали о лазейках в приложении Tinder, позволяющих следить за пользователями.

ФБР признало покупку данных о местоположении граждан США

ФБР подтвердило, что покупает коммерчески доступные данные, включая сведения о местоположении американцев, чтобы использовать их в расследованиях. Об этом на слушаниях в Конгрессе заявил директор бюро Каш Патель. Это первое официальное подтверждение такой практики со стороны ФБР с 2023 года.

Поводом стал вопрос сенатора Рона Уайдена, который спросил, готово ли бюро отказаться от покупки геоданных граждан США без ордера.

Патель на это отвечать в таком ключе не стал и заявил, что ФБР использует «все инструменты» для выполнения своей работы. По его словам, бюро действительно приобретает коммерчески доступную информацию и считает, что действует в рамках Конституции и закона об электронных коммуникациях.

Суть спора здесь довольно чувствительная. Обычно, если государству нужна частная информация о человеке, ведомство должно убедить суд выдать ордер.

Но в последние годы американские структуры всё чаще обходят этот этап: вместо запроса к технологической компании или оператору они просто покупают нужные массивы данных у брокеров, которые собирают их через мобильные приложения, рекламные платформы и другие коммерческие каналы.

Именно это Уайден и назвал «возмутительным обходом Четвёртой поправки» — той самой, которая защищает людей в США от необоснованных обысков и изъятий данных.

Пока ФБР придерживается позиции, что ордер для такой покупки не нужен, но, как отмечают СМИ, эта правовая логика ещё не проходила полноценную судебную проверку.

RSS: Новости на портале Anti-Malware.ru