Баг в Instagram сливал пароли

Из-за программной ошибки пароль пользователя иногда отображался открытым текстом в адресной строке браузера.

Операторы социального сервиса Instagram исправили программную ошибку, из-за которой пароль пользователя иногда отображался открытым текстом в адресной строке браузера. Затронутых пользователей уже начали оповещать об этом по электронной почте, настоятельно рекомендуя сменить пароль.

Потенциально опасный баг был привнесен с запуском опции Download Your Data — она была введена на сервисе в минувшем апреле, чтобы привести сайт в соответствие требованиям GDPR. Новая функция позволяет пользователям отслеживать информацию, которую они публикуют в Instagram, в том числе фото, записи, комментарии и другие данные.

Чтобы эти сведения не попали в чужие руки, у пользователя при активации этой опции повторно запрашивают пароль. Из-за ошибки, допущенной в реализации механизма Download Your Data, пароль мог в незашифрованном виде появиться в адресной строке соответствующей страницы. На компьютерах общего пользования, в скомпрометированных сетях и при дублировании пароля на других сайтах это грозило взломом аккаунтов. Более того, вводимые для подтверждения пароли сохранялись на серверах Facebook — владельца Instagram.

Данная проблема уже устранена; по словам представителей Instagram, она затронула «небольшое количество пользователей». Им следует в кратчайшие сроки сменить пароль и очистить историю браузера. Остальным пользователям тоже рекомендуется усилить пароли, а также включить двухфакторную аутентификацию — эта опция доступна на сервисе уже полтора года.

Утечка в Instagram, вызванная некорректной реализацией дополнительного инструмента, не столь масштабна, как недавний инцидент на Facebook, когда ошибка создателей опции View As привела к компрометации аккаунтов 30 млн пользователей социальной сети. На Instagram таких последствий пока не замечено — по крайней мере, данных об этом у компании на настоящий момент нет.

В том, что подобные изъяны в коде могут быть очень опасными, компания убедилась в августе, когда на фотообменнике был выявлен массовый угон аккаунтов. Неизвестные злоумышленники блокировали вход в профиль законному пользователю, а затем стирали данные, привязывали аккаунт к своему email-адресу и замораживали активность. Не исключено, что авторы атаки планировали использовать взломанные аккаунты Instagram в качестве ботов.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

1

Всего голосов: 1

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля