Persönliche Informationen wie Privat- und E-Mail-Adressen waren in einer der weltweit am meisten genutzten Apps gefährdet
San Carlos, Kalifornien, 8. Januar 2020 – Check Point Research, die Threat Intelligence Abteilung von Check Point® Software Technologies Ltd. (NASDAQ: CHKP), einem weltweit führenden Anbieter von Cyber-Sicherheitslösungen, enthüllt heute mehrere Schwachstellen in der beliebten App TikTok. Sie hätten es Angreifern ermöglicht, Inhalte auf Benutzerkonten zu manipulieren und sogar vertrauliche, persönliche Informationen, die auf diesen Konten gespeichert sind, zu extrahieren. Darunter E-Mail-Adressen und Kontaktdaten.
TikTok wird hauptsächlich von Jugendlichen und Kindern verwendet, die diese App nutzen, um private (und oft sehr sensible) Videos von sich selbst und ihren Lieben zu teilen. Die Untersuchung ergab, dass ein Angreifer eine gefälschte SMS-Nachricht mit einem bösartigen Link an einen Benutzer senden kann. Wenn dieser auf den bösartigen Link klickte, konnte der Angreifer an das TikTok-Konto gelangen und dessen Inhalt manipulieren, wobei er Videos löschte, unautorisierte Videos hoch lud und private oder ‚versteckte‘ Videos öffentlich machte.
Die Untersuchung ergab auch, dass die TikTok-Subdomain https://ads.tiktok.com anfällig für XSS-Angriffe war. Dies ist ein Angriff, bei dem bösartige Skripte in ansonsten gutartige und vertrauenswürdige Websites eingeschleust werden. Die Sicherheitsforscher von Check Point nutzten diese Schwachstelle aus, um persönliche Informationen abzurufen, die auf Benutzerkonten gespeichert sind, einschliesslich privater
E-Mail-Adressen und Geburtstage.
Check Point Research informierte die TikTok-Entwickler über die Schwachstellen, die in dieser Untersuchung aufgedeckt wurden. Inzwischen wurde ein Fix veröffentlicht, um sicherzustellen, dass die Benutzer die TikTok-App weiterhin ungefährdet nutzen können.
„Unsere neuen Untersuchungen zeigen, dass die beliebtesten Anwendungen immer gefährdet sind“, sagt Oded Vanunu, Head of Product Vulnerability Research bei Check Point: „Social-Media-Angriffe sind sehr gezielt auf Schwachstellen ausgerichtet, da sie eine gute Quelle für private Daten und eine grosse Angriffsfläche bieten. Böswillige Akteure geben grosse Mengen an Geld aus und unternehmen viele Anstrengungen, um in solch riesige Anwendungen einzudringen. Dennoch gehen die meisten Nutzer davon aus, dass sie durch die von ihnen genutzte App geschützt wären.“
Dr. Luke Deshotels aus dem TikTok-Sicherheitsteam: „TikTok ist dem Schutz der Benutzerdaten verpflichtet. Wie viele Organisationen ermutigen auch wir verantwortungsbewusste Sicherheitsforscher dazu, Zero-Day-Schwachstellen privat an uns zu melden. Vor der öffentlichen Bekanntgabe stimmte Check Point zu, dass alle gemeldeten Probleme in der neuesten Version unserer App ‚gepatcht‘ wurden. Wir hoffen, dass diese erfolgreiche Lösung die zukünftige Zusammenarbeit mit Sicherheitsforschern fördert.“
TikTok ist in über 150 Ländern erhältlich, wird weltweit in 75 Sprachen verwendet und ist mit über 800 Millionen Nutzern definitiv eine der am häufigsten heruntergeladenen Apps. Im Oktober 2019 ist TikTok die am meisten heruntergeladene App in den Vereinigten Staaten und damit die erste chinesische App, die einen solchen Rekord erreicht hat.
Mehr Informationen über die Forschungsergebnisse erfahren Sie im Check Point Research Blog.
Ausserdem sehen Sie eine Demo des Angriffs hier: https://youtu.be/gs6uMgcmT9E
Folgen Sie Check Point Research über die folgenden Kanäle:
Blog: https://research.checkpoint.com/
Twitter: https://twitter.com/_cpresearch_
Über Check Point Research
Check Point Research bietet führende Cyber-Bedrohungsinformationen für Check Point Software-Kunden und die grössere Intelligenz-Community. Das Forschungsteam sammelt und analysiert globale Cyber-Angriffsdaten, die auf der ThreatCloud gespeichert sind, um Hacker fernzuhalten und gleichzeitig sicherzustellen, dass alle Check Point Produkte mit den neuesten Schutzmassnahmen aktualisiert werden. Das Forschungsteam besteht aus über 100 Analysten und Forschern, die mit anderen Sicherheitsanbietern, der Strafverfolgung und verschiedenen CERTs zusammenarbeiten.
Über Check Point Software Technologies Ltd.
Check Point Software Technologies Ltd. (www.checkpoint.com) ist ein führender Anbieter von Cyber-Sicherheitslösungen für Unternehmen und Regierungen weltweit. Die Lösungen schützen Kunden vor Cyber-Angriffen der 5. Generation mit einer branchenführenden Fangrate von Malware, Ransomware und anderen gezielten Angriffen. Check Point bietet die mehrstufige Sicherheitsarchitektur ‚Infinity‘ Total Protection mit Gen V Advanced Threat Prevention, die alle Netzwerke, Clouds und mobilen Operationen eines Unternehmens, sowie die Geschäftsinformationen auf diesen Geräten, vor allen bekannten Angriffen schützt. Check Point liefert zudem das umfassendsten und intuitivsten Single Point of Control Management-System der Branche. Check Point schützt über 100‘000 Unternehmen jeder Grösse in der ganzen Welt.
Check Point Alps (Schweiz und Österreich) mit Sitz in Zürich und Wien beschäftigt rund 50 Mitarbeitende.
Pressekontakt:
Check Point Software Technologies (Switzerland) AG
Sonja Meindl
Tel: +41 44 316 64 44
E-Mail: smeindl@checkpoint.com
Jenni Kommunikation
Sylvana Zimmermann
Tel: +41 44 388 60 80
E-Mail: sylvana.zimmermann@jeko.com
Posted on