Pesquisadores da companhia fornecem detalhes técnicos do exploit.
Como reportado pelo Instagram ontem (30/8), cibercriminosos exploraram um bug da rede social que permitia que eles roubassem perfis de usuários do Instagram, incluindo celebridades. Os pesquisadores da Kaspersky Lab perceberam o bug e notificaram o Instagram na terça-feira, dia 29 de agosto, e compartilharam uma breve análise técnica com a rede social.
Os pesquisadores descobriram que a vulnerabilidade existe na versão móvel 8.5.1 do Instagram, lançada em 2016 (a versão atual é 12.0.0). O processo de ataque é relativamente simples: usando o aplicativo desatualizado, o atacante seleciona a opção redefinir senha e captura a solicitação usando um proxy web. Eles então selecionam uma vítima e enviam uma solicitação ao servidor do Instagram carregando o identificador ou nome de usuário exclusivo do alvo. O servidor retorna com uma resposta JSON com as informações pessoais da vítima, incluindo dados confidenciais, como e-mail e número de telefone.
Os ataques são bastante intensivos no quesito mão-de-obra: cada um deve ser feito manualmente, uma vez que o Instagram usa cálculos matemáticos para evitar que os invasores automatizem o formulário de solicitação.
Os hackers foram vistos em um fórum clandestino, negociando credenciais pessoais por perfis de celebridades na rede social.
“É muito importante que usuários de redes sociais usem todos os recursos de segurança oferecidos pelas plataformas a seu favor, a fim de dificultar ainda mais ataques como esse. Recursos como a dupla autenticação, alertas de logins desconhecidos, uso de senhas únicas, são boas práticas recomendadas a todos”, afirma Fabio Assolini, analista sênior de segurança da Kaspersky Lab no Brasil.
A Kaspersky Lab aconselha que usuários que ainda utilizam versões antigas do software as atualizem imediatamente para a versão mais recente disponível. Outras dicas úteis para se manter seguro em mídias sociais incluem o uso de endereços de e-mail diferentes para diferentes plataformas sociais, relatando quaisquer preocupações ou irregularidades para a rede social. E, acima de tudo: se você receber e-mails sobre uma restauração de senha que você não iniciou, alerte a rede social imediatamente.
