В Instagram найден очередной баг, позволяющий взламывать аккаунты

В Instagram найден очередной баг, позволяющий взламывать аккаунты

В Instagram найден очередной баг, позволяющий взламывать аккаунты

Индийский исследователь Лаксман Матия получил от Facebook $10 000 за обнаружение очередной критической уязвимости, которой могли воспользоваться киберпреступники для взлома Instagram-аккаунтов.

Матия нашёл брешь в процессе анализа системы восстановления паролей для мобильных устройств. Напомним, что для восстановления учетных данных пользователь должен в течение 10 минут ввести шестизначный код, который высылают ему на смартфон.

Несмотря на то, что разработчики Instagram приняли защитные меры, чтобы предотвратить брутфорс этого кода, Матия нашёл способ провести атаку.

Эксперт выяснил, что идентификатор, генерируемый приложением Instagram для каждого устройства случайным образом, включён в запрос на восстановление пароля. Этот ID устройства используется для проверки шестизначного кода.

Исследователь обратил внимание, что один идентификатор можно использовать в процессе запроса кодов восстановления для множества аккаунтов. Это значит, что при достаточном количестве запросов злоумышленник мог бы вычислить корректный код восстановления.

«Существует миллион комбинаций такого шестизначного кода (от 000001 до 999999). Когда мы запрашиваем код для нескольких пользователей, мы увеличиваем шансы успешного взлома учетной записи», — объясняет Матия.

«Для примера: если вы отправите запрос кода для ста тысяч пользователей, используя один идентификатор, у вас будет 10-процентная вероятность взлома. А если мы запросим коды восстановления для миллиона юзеров, мы сможем скомпрометировать аккаунты со 100% вероятностью».

Facebook согласился с тем, что уязвимость явилась следствием недостаточно защищённого механизма восстановления пароля. Интернет-гигант выплатил Матия десять тысяч долларов.

Напомним, что на днях киберпреступники запустили новую фишинговую кампанию, на этот раз под прицелом пользователи социальной сети Instagram. При этом злоумышленники используют не только фейковые поля ввода логина и пароля, но и задействуют в схеме коды двухфакторной аутентификации (2FA).

Пользователи не уходят с Telegram, несмотря на почти полную блокировку

Несмотря на почти полную невозможность пользоваться Telegram без средств подмены сетевых адресов, российские пользователи не спешат уходить с этой платформы. Такую оценку дал генеральный директор информационно-аналитического агентства Telecom Daily Денис Кусков.

В комментарии для ТАСС он подчеркнул, что, несмотря на почти полную блокировку мессенджера и фактическую невозможность его использования без VPN и других средств подмены сетевых адресов, пользователи продолжают оставаться в Telegram.

Как сообщило издание Frank Media со ссылкой на несколько источников, даже высокопоставленные государственные чиновники не собираются отказываться от Telegram, рассчитывая, что «Павел Дуров что-то придумает для обхода блокировок».

По данным издания, те, кто всё же устанавливает MAX, нередко делают это на отдельный смартфон с новой сим-картой. Один из топ-менеджеров крупного госбанка, как утверждается, заявил, что поставил MAX исключительно для звонков в Россию из-за границы и собирается удалить приложение после возвращения.

Как показали замеры, проведённые ТАСС, уровень потерь сетевых пакетов при обращении к доменам t.me и telegram.org достигает почти 100%. При этом оба домена используют один и тот же IP-адрес.

Роскомнадзор начал замедлять Telegram 10 февраля. Однако фактически проблемы стали заметны ещё за несколько дней до этого. С 14 марта пользоваться мессенджером стало почти невозможно. При этом степень замедления заметно различалась в зависимости от региона и оператора связи.

RSS: Новости на портале Anti-Malware.ru