Uma plataforma popular de compartilhamento de vídeos, o TikTok, reconheceu um problema de segurança que foi explorado por atores mal-intencionados para assumir o controle de contas de alto perfil na plataforma.

A vulnerabilidade foi primeiramente reportada pela Semafor e Forbes, que detalharam uma campanha de invasão de contas sem clique que permite que malwares propagados por meio de mensagens diretas comprometam contas de marcas e celebridades sem que seja necessário clicar ou interagir com elas.

A exploração se aproveita de uma vulnerabilidade zero-day no componente de mensagens que permite a execução de código malicioso assim que a mensagem é aberta.

A quantidade de usuários afetados ainda não está clara, embora um porta-voz do TikTok tenha dito que a empresa tomou medidas preventivas para interromper o ataque e evitar que aconteça novamente no futuro.

A empresa também afirmou que está trabalhando diretamente com os titulares das contas afetadas para restaurar o acesso e que o ataque só conseguiu comprometer um número “muito pequeno” de usuários. Não foram fornecidos detalhes sobre a natureza do ataque ou as técnicas de mitigação empregadas.

Essa não é a primeira vez que questões de segurança foram descobertas no serviço amplamente utilizado. Em janeiro de 2021, a Check Point detalhou uma falha no TikTok que poderia potencialmente permitir a um atacante construir um banco de dados dos usuários do aplicativo e seus números de telefone associados para atividades maliciosas futuras.

Além disso, em setembro de 2022, a Microsoft descobriu uma exploração em um clique que afetava o aplicativo do TikTok para Android e poderia permitir que atacantes assumissem contas quando as vítimas clicassem em um link especialmente criado.

Outra questão divulgada pela Imperva há mais de um ano poderia ter permitido que atacantes monitorassem a atividade dos usuários e acessassem informações sensíveis em dispositivos móveis e desktops.

Atacantes também se aproveitaram do Desafio Invisível do TikTok para entregar malwares roubadores de informações, destacando os esforços contínuos dos atacantes para disseminar malwares por meio de métodos não convencionais.

As raízes chinesas do TikTok levantaram preocupações de que o aplicativo poderia ser usado como um canal para reunir informações sensíveis sobre usuários americanos e servir de propaganda, levando eventualmente à promulgação de uma lei que proibiria o aplicativo de vídeo no país, a menos que fosse desinvestido da ByteDance.

No mês passado, o gigante das redes sociais entrou com uma ação nos Estados Unidos contestando a lei, afirmando que é uma “intrusão extraordinária nos direitos de liberdade de expressão” e que os Estados Unidos apresentaram apenas “preocupações especulativas” para justificar a proibição.

Índia, Nepal, Senegal, Somália e Quirguistão estão entre as nações que já impuseram proibições semelhantes ao TikTok, com vários outros países, incluindo os EUA, o Reino Unido, Canadá, Austrália e Nova Zelândia, proibindo o uso do aplicativo em dispositivos do governo.