Un fallo de seguridad en Snapchat permitirÃa construir una base de datos de usuarios y sus teléfonos
Editor en Genbeta
.- Este grupo de investigadores se puso en contacto con Snapchat en agosto sobre ciertos fallos de seguridad en su aplicación. La startup les ignoró por completo y la respuesta es la que tenÃa que ser: full disclosure. Es decir, que Gibson Security ha hecho públicos esos fallos de seguridad, con exploits para aprovecharlos y con una documentación completa de la API.El primer fallo es que la API tiene una función para la cuenta de Snapchat vinculada a un cierto número de teléfono, sin ningún tipo de lÃmite. Con un programa muy sencillo se pueden ir probando rangos de números y extrayendo las cuentas asociadas. Y como Snapchat no pone un lÃmite, puedes hacer todas las peticiones que quieras. Gibson Security estima que en 20 horas se podrÃan probar 8 millones de números telefónicos.
De la misma forma, Snapchat tampoco restringe el registro de nuevas cuentas. Un atacante puede crearse miles de cuentas en poco tiempo y aprovecharlas para llenar de spam Snapchat. E igual que antes, el código necesario apenas ocupa unas pocas lÃneas.
Lo peor de todo es que estos fallos también podrÃan usarse para conseguir un registro de los usuarios y vincularlos a perfiles en otras redes sociales. No estamos hablando sólo de fallos de seguridad sino de un agujero de privacidad importante, que probablemente atraerá a más de un spammer: una base de datos de teléfonos y usuarios de Snapchat es muy jugosa, todo un premio gordo.
¿Por qué ha decidido Gibson Security publicar todos estos datos? Según han declarado en ZDNet, han acabado hartos de Snapchat por ignorar a la comunidad de seguridad y atacar a los clientes libres (open source) de Snapchat. Además, para corregir los fallos sólo hace falta un cambio mÃnimo, establecer un lÃmite de peticiones a la API, y el hecho de que en cuatro meses no se haya cambiado demuestra para Gibson que Snapchat ni se preocupa por su seguridad. Si bien es cierto que poca gente se plantea Snapchat como un sistema de mensajerÃa seguro, no estarÃa nada mal que tuviesen algo más en cuenta estos fallos, que no sólo les afectan a ellos sino también a sus usuarios.
VÃa | ZDNet
Más información | Gibson Security