TikTok, bilgisayar korsanlarının çok sayıda yüksek profilli hesabı ele geçirmek için doğrudan mesajlaşma (DM) özelliğindeki sıfır gün güvenlik açığından yararlandığını doğruladı.
Etkilenen hesaplar arasında Paris Hilton gibi ünlülerin ve CNN ve Sony gibi büyük medya kuruluşlarının hesapları yer alıyor. Platformun güvenlik önlemleriyle ilgili alarmlara yol açan saldırı, ilk olarak 4 Haziran 2024’te bildirildi.
Sıfır Gün Güvenlik Açığı
Sıfır gün güvenlik açığı, saldırganların TikTok’un DM özelliği aracılığıyla yalnızca kötü amaçlı bir mesaj göndererek hesaplara yetkisiz erişim elde etmesine olanak tanıdı.
Bu istismar, kurbanların herhangi bir veri indirmesini veya yerleşik bağlantılara tıklamasını gerektirmiyordu; Yalnızca kötü amaçlı mesajın açılması, hesabın tehlikeye atılması için yeterliydi.
With ANYRUN You can Analyze any URL, Files & Email for Malicious Activity : Start your Analysis
Bu tür saldırılar özellikle sinsidir, çünkü önceden bilinmeyen bir güvenlik açığından yararlanır ve geliştiricilere bu güvenlik açığından yararlanılmadan önce bu güvenlik açığını düzeltmeye zaman tanımaz.
İhlal, daha fazla kötüye kullanımı önlemek için etkilenen hesapların geçici olarak kapatılmasına yol açtı. CNN’in hesabının ele geçirilen ilk hesap olduğu ve bu hesabın birkaç gün boyunca platformdan kaldırılmasını gerektirdiği bildirildi. Semafor, Paris Hilton’un hesabının da ele geçirilmemesine rağmen hedef alındığını bildirdi.
TikTok o zamandan beri saldırıyı durdurmak ve gelecekteki olayları önlemek için önlemler aldı. Şirket, erişimi yeniden sağlamak ve ek güvenlik önlemleri uygulamak için etkilenen hesap sahipleriyle doğrudan çalışıyor.
TikTok’un gizlilik ve güvenlik ekibinin temsilcisi Jason Grosse, şirketin etkiyi azaltmak ve bu tür olayların tekrarlanmamasını sağlamak için etkilenen kullanıcılarla işbirliği yaptığını belirtti.
Ancak TikTok, güvenlik endişelerini öne sürerek ele geçirilen hesapların tam sayısını açıklamadı veya güvenlik açığının spesifik yapısını ayrıntılı olarak açıklamadı.
Yaklaşan ABD başkanlık seçimleri göz önüne alındığında, saldırının zamanlaması özellikle endişe verici. Bu tür güvenlik açıklarının yanlış bilgi yaymak veya seçim sürecini aksatmak için kullanılabileceğine dair korkular artıyor. Örneğin CNN, seçim sezonunda olası tehditleri öngörerek hesap güvenliğini artırmak için TikTok ile birlikte çalışıyor.
Bu olay, TikTok için yaşanan bir dizi güvenlik sorununun sonuncusu. 2022 yılında bir bilgisayar korsanı platformdan kullanıcı verilerini ve kaynak kodunu çaldığını iddia etse de TikTok bu iddiaları yalanlamıştı.
Platform ayrıca, TikTok’un Çinli teknoloji devi ByteDance’e ait olması nedeniyle Çin hükümetinin kullanıcı verilerine erişebileceğine dair endişeler nedeniyle ABD’li milletvekillerinin incelemesine de maruz kaldı.
Bu endişelere yanıt olarak Başkan Biden, Nisan 2024’te ByteDance’in TikTok’un ABD operasyonlarını satmasını aksi takdirde yasakla karşı karşıya kalmasını gerektiren bir yasa tasarısı imzaladı.
TikTok’un güvenlik açıklarıyla dolu bir geçmişi var. Ağustos 2022’de Microsoft, TikTok’un Android uygulamasında bilgisayar korsanlarının tek tıklamayla hesapları ele geçirmesine olanak tanıyan bir kusur keşfetti.
Diğer güvenlik açıkları arasında gizlilik korumalarının aşılması ve telefon numaraları ve kullanıcı kimlikleri gibi özel kullanıcı bilgilerinin çalınması yer alıyor. Bu sorunlara rağmen TikTok, 1 milyarı aşkın kullanıcısıyla dünya çapında en popüler sosyal medya platformlarından biri olmaya devam ediyor.
Şimdilik, TikTok kullanıcılarının, özellikle de yüksek profilli hesaplara sahip olanların, dikkatli olmaları ve herhangi bir şüpheli etkinliği platformun güvenlik ekibine bildirmeleri tavsiye ediliyor. Şirket, kullanıcılarına verilerini korumaya ve gelecekteki ihlalleri önlemeye kararlı olduğuna dair güvence verdi.
Looking for Full Data Breach Protection? Try Cynet's All-in-One Cybersecurity Platform for MSPs: Try Free Demo