Un fallo en Instagram permite a un atacante acceder a cualquier cuenta
La compañía de seguridad ESET se ha hecho eco de una vulnerabilidad Oauth en Instagram que podría ser explotada para robar la cuenta de cualquier usuario y acceder a sus fotos privadas.
Instagram es una red social ampliamente utilizada para compartir fotografías a través de diferentes plataformas, incluida Facebook, y en la que se acaba de descubrir una grave vulnerabilidad Oauth que permitiría robar cualquier cuenta. Según investigadores de ESET, un atacante que logre explotar la vulnerabilidad tendría acceso a fotos privadas e incluso podría borrar dicha información, así como subir nuevas imágenes y también editar o borrar comentarios existentes.
La vulnerabilidad puede ser explotada de dos formas diferentes. La primera opción es el robo de la cuenta a través de la propia vulnerabilidad Oauth de Instagram, para lo que el atacante utiliza el parámetro redirection_uri que valida el sitio web indicado, el cual puede ser explotado si se modificaba el sufijo del sitio especificado. Por ejemplo, si el sitio finalizaba en “.com” podía pasarse como parámetro “.com.es”. Si el ciberdelincuente deseaba llevar a cabo el ataque, debía comprar previamente el dominio con el sufijo modificado, para así poder robar el token de la propia cuenta.
La segunda opción utiliza el robo de sesión de Instagram a través de Facebook. Aquí, el investigador demostró que es posible utilizar cualquier dominio en el parámetro redirection_uri, de manera que un atacante podría robar el token de sesión de cualquier usuario de Instagram. Esta vulnerabilidad ya ha sido solucionada por el equipo de seguridad de Facebook.
Noticias relacionadas:
- Una aplicación falsa de Instagram intenta infectar dispositivos Android
- Tres pasos para prevenir el malware en las redes sociales
