Aggiornamenti recenti Agosto 9th, 2022 1:45 PM
partner
News Recenti
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- Attacchi a Coinbase aggirano la 2FA
- Pacchetti malevoli in PyPI
- Cyber attacco rallenta il servizio sanitario nazionale britannico
- Azione legale contro Experian per la sicurezza degli account
- Risolte vulnerabilità nei router Cisco Small Business serie RV
Instagram: 20 milioni di Account erano a rischio hacking
Per violare un account Instagram non servivano campagne di phishing o un keylogger sul computer della vittima: bastava avviare un brute forcing direttamente sul sito.
È questa la scoperta fatta da Arne Swinnen, un “cacciatore di bug” che ha messo a nudo tutte le debolezze del social network in un post sul suo blog.
A rendere vulnerabile Instagram, secondo Swinnen, sono diversi fattori. Prima di tutto la mancanza di una politica di blocco degli account in fase di log in, che rende possibile un attacco di brute forcing. Ma anche la tardiva introduzione di un sistema di autenticazione a due fattori, introdotto solo nel febbraio del 2016 e ancora ben lontano da essere utilizzato da tutti (o buona parte) degli iscritti.
Se a questo si aggiunge il fatto che gli account sono pubblici e la policy per le password prevede un minimo di 6 caratteri e consente l’utilizzo di password come “123456” o “password”, il quadro è completo.
Nessuna policy per la scelta delle password e nemmeno limiti per i tentativi di log in. Instagram fino a qualche giorno fa era “brute forcing friendly”.
Nei suoi test, Swinnen ha trovato due modi per accedere a un account Instagram senza “toccare” i dispositivi degli utenti. Il primo prende di mira l’endpoint usato per l’accesso da Android.
Swinnen, infatti, si è accorto che nel corso di un attacco, il server rispondeva normalmente ai primi 1000 tentativi di accesso da uno stesso indirizzo IP, negando invece i successivi 1000. A partire dal successivo, però, lo schema si ripeteva e permetteva quindi di proseguire l’attacco con altri 1000 tentativi.
La seconda vulnerabilità, invece, riguardava l’accesso via Web e consentiva, al pari del primo, un brute forcing basato su dizionario.
La segnalazione dei bug ha fruttato ad Arne Swinnen una ricompensa di 5000 dollari, mentre le policy per le password e i sistemi di autenticazioni sono stati corretti introducendo requisiti più rigorosi nella scelta della password e un limite per i tentativi di login.
Condividi l'articolo
Raffica di cause contro Facebook: “Controlla illegalmente le chat”
Reti Internet senza fili messe KO da un malware
Articoli correlati
Altro in questa categoria
Approfondimenti
-
Mitre Engenuity Test: il test impossibile da ignorare Il Mitre lo conoscono tutti: come istituzione, come... -
Acronis: fare cyber security partendo dalla sicurezza del... Acronis è un’azienda che deve buona parte della sua fama... -
Ransomware: le tecniche dei criminali per estorcere denaro Il ransomware è un flagello che sta colpendo le aziende di... -
Ransomware: perché il backup non basta Il ransomware è una tipologia d’attacco di cui... -
Ransomware: le multe, il GDPR e le contromisure Non c’è quasi utente di computer che non abbia sentito...
Minacce recenti
Off topic
-
Maythefourth: La caduta dell’Impero Galattico è... E se vi dicessimo che la saga di Star Wars ... -
Gli hacker e il cinema: i dieci migliori film secondo... Abbiamo rubato al blog di Kaspersky un vecchio pezzo di... -
Campione di scacchi blinda il PC. “Paura degli hacker” Il numero uno degli scacchi mondiali Magnus Carlsen ha... -
L’autore di fsociety pensa di essere Mr. Robot, ma è un... Il pirata informatico che ha creato il ransomware cerca... -
Yahoo sospende l’inoltro delle email. Paura di un esodo... Dopo la raffica di figuracce, l’azienda sospende per...
Post recenti
-
Attacchi a Coinbase aggirano la 2FA Una nuova campagna di phishing utilizza finte e-mail di... -
Pacchetti malevoli in PyPI Check Point research ha individuato in PyPI, il repository... -
Cyber attacco rallenta il servizio sanitario nazionale... Un attacco al provider di servizi gestiti Advanced sta... -
Azione legale contro Experian per la sicurezza degli Un’azione legale collettiva accusa la multinazionale... -
Risolte vulnerabilità nei router Cisco Small Business... Una serie di vulnerabilità nei router Cisco Small Business...
Crittografia per l’era dei computer quantistici
L’agenzia che si occupa degli standard tecnologici per gli USA... Continua →
Ransomware: la serie
No posts found.