Aggiornamenti recenti Settembre 9th, 2025 11:43 AM
Ago 02, 2022 Redazione news News, RSS, Vulnerabilità 0
Secondo CloudSEK oltre 3000 app espongono le chiavi API di Twitter al rischio di furto e dei pirati potrebbero prendere possesso degli account di chi le usa e creare un esercito di bot
BeVigil di CloudSEK, il primo motore di ricerca di sicurezza per le app mobili, ha scoperto 3207 app che fanno trapelare chiavi API di Twitter che possono essere utilizzate per accedere agli account e prenderne possesso.
Tutte queste applicazioni trasmettono una Consumer Key e un Consumer Secret validi per l’API di Twitter. 230 delle app fanno trapelare tutti e 4 gli Auth Creds dell’API e possono essere utilizzate per prendere completamente il controllo degli account Twitter ed eseguire una serie di azioni critiche.
Tra queste, leggere i messaggi diretti, ritwittare, mettere “mi piace”, rimuovere i follower del profilo, seguire qualsiasi account, ottenere le impostazioni dell’account e cambiare l’immagine del profilo.
Quando integrano le app mobili con Twitter, gli sviluppatori ricevono speciali chiavi di autenticazione, quelle citate, che consentono alle loro app di interagire con l’API di Twitter. Quando un utente associa il proprio account Twitter all’applicazione mobile, le chiavi consentono a quest’ultima di agire per conto dell’utente, svolgendo le azioni menzionate.
Secondo CloudSEK il furto di chiavi API è comunemente il risultato di errori da parte degli sviluppatori di app che incorporano le loro chiavi di autenticazione nell’API di Twitter.
Il report dichiara che l’utilizzo di queste chiavi di accesso potrebbe consentire a un pirata di creare un esercito di account Twitter con un numero elevato di follower per promuovere notizie false, campagne di malware, truffe di criptovalute, ecc.
CloudSEK ha condiviso con BleepingComputer un elenco di applicazioni colpite, con un numero di scaricamenti che va da 50.000 a 5.000.000, tra cui strumenti per la pianificazione del trasporto urbano, sintonizzatori radio, lettori di libri, giornali, applicazioni di e-banking, applicazioni GPS per ciclisti e altro ancora. Dato che per molte il problema non è stato risolto, l’elenco non è stato divulgato
Mag 28, 2024 0
Apr 25, 2024 0
Gen 31, 2024 0
Ott 19, 2023 0
Set 09, 2025 0
Set 08, 2025 0
Set 08, 2025 0
Set 05, 2025 0
Ago 29, 2025 0
Il prossimo 14 ottobre terminerà ufficialmente il supporto...Ago 26, 2025 0
Il mondo dell’IoT rimane uno dei più esposti alle...Ago 04, 2025 0
I chatbot basati su modelli linguistici di grandi...Lug 29, 2025 0
Tra le minacce più recenti che stanno facendo tremare il...Lug 17, 2025 0
Gli attacchi DDoS, compresi quelli ipervolumetrici,...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Set 09, 2025 0
I ricercatori di Arctic Wolf hanno scoperto GPUGate, una...Set 08, 2025 0
I ricercatori di Security Bridge hanno scoperto che una...Set 08, 2025 0
La scorsa settimana il CERT-AGID ha rilevato 79 campagne...Set 05, 2025 0
Il governo degli Stati Uniti sta offrendo fino a 10...Set 03, 2025 0
Appena rilasciato e già preso di mira dagli attaccanti:...