Kerentanan dalam aplikasi TikTok untuk Android dapat memungkinkan penyerang mengambil alih akun apa pun yang mengklik tautan berbahaya, berpotensi memengaruhi ratusan juta pengguna platform.
Rincian eksploitasi satu klik terungkap hari ini dalam posting blog dari para peneliti di Tim Riset 365 Defender Microsoft. Kerentanan itu diungkapkan ke TikTok oleh Microsoft, dan sejak itu telah ditambal.
Bug dan serangan yang dihasilkannya, yang dilabeli "kerentanan tingkat keparahan tinggi," dapat digunakan untuk membajak akun pengguna TikTok mana pun di Android tanpa sepengetahuan mereka, setelah mereka mengklik tautan yang dibuat khusus. Setelah tautan diklik, penyerang akan memiliki akses ke semua fungsi utama akun, termasuk kemampuan untuk mengunggah dan memposting video, mengirim pesan ke pengguna lain, dan melihat video pribadi yang disimpan di akun.
Potensi dampaknya sangat besar, karena memengaruhi semua varian global aplikasi Android TikTok, yang memiliki total lebih dari 1,5 miliar unduhan di Google Play Store. Namun, tidak ada bukti bahwa hal itu dieksploitasi oleh aktor jahat," kata juru bicara TikTok Maureen Shanahan. "Para peneliti yang terlibat dengan penemuan dan pengungkapan memuji TikTok atas tanggapan yang cepat."
Microsoft mengonfirmasi bahwa TikTok segera menanggapi laporan tersebut. "Kami memberi mereka informasi tentang kerentanan dan berkolaborasi untuk membantu memperbaiki masalah ini," kata Tanmay Ganacharya, direktur mitra untuk penelitian keamanan di Microsoft Defender for Endpoint, kepada The Verge. "TikTok merespons dengan cepat, dan kami memuji resolusi yang efisien dan profesional dari tim keamanan."
Menurut detail yang dipublikasikan di posting blog, kerentanan memengaruhi fungsionalitas tautan dalam aplikasi Android. Penanganan tautan dalam ini memberi tahu sistem operasi untuk membiarkan aplikasi tertentu memproses tautan dengan cara tertentu, seperti membuka aplikasi Twitter untuk mengikuti pengguna setelah mengklik tombol HTML "Ikuti akun ini" yang disematkan di halaman web.
Penanganan tautan ini juga menyertakan proses verifikasi yang seharusnya membatasi tindakan yang dilakukan ketika aplikasi memuat tautan yang diberikan. Tetapi para peneliti menemukan cara untuk mem-bypass proses verifikasi ini dan menjalankan sejumlah fungsi yang berpotensi dapat dijadikan senjata dalam aplikasi.
Salah satu dari fungsi-fungsi ini memungkinkan mereka mengambil token autentikasi yang terkait dengan akun pengguna tertentu, secara efektif memberikan akses akun tanpa perlu memasukkan kata sandi. Dalam serangan bukti konsep, para peneliti membuat tautan berbahaya yang, ketika diklik, mengubah bio akun TikTok menjadi bertuliskan "SECURITY BREACH."
screenshot dari akun yang terkena hacking
Untungnya, kerentanan terdeteksi, dan Microsoft telah menggunakan kesempatan tersebut untuk menekankan pentingnya kolaborasi dan koordinasi antara platform dan vendor teknologi.
"Karena ancaman di seluruh platform terus tumbuh dalam jumlah dan kecanggihan, pengungkapan kerentanan, respons terkoordinasi, dan bentuk lain dari berbagi intelijen ancaman diperlukan untuk membantu mengamankan pengalaman komputasi pengguna, terlepas dari platform atau perangkat yang digunakan," tulis Dimitrios Valsamaras dari Microsoft dalam posting blog. "Kami akan terus bekerja sama dengan komunitas keamanan yang lebih besar untuk berbagi penelitian dan intelijen tentang ancaman dalam upaya membangun perlindungan yang lebih baik untuk semua."
Meskipun aplikasi TikTok sejauh ini tidak diketahui telah mengalami peretasan besar, beberapa kritikus telah mencapnya sebagai risiko keamanan karena alasan lain.
Baru-baru ini, kekhawatiran telah dikemukakan mengenai sejauh mana data pengguna AS dapat diakses oleh para insinyur yang berbasis di China di ByteDance, perusahaan induk TikTok. Pada bulan Juli, para pemimpin Komite Intelijen Senat meminta ketua FTC Lina Khan untuk menyelidiki TikTok setelah laporan mempertanyakan klaim bahwa data pengguna AS ditutup dari cabang perusahaan Tiongkok.
Rincian eksploitasi satu klik terungkap hari ini dalam posting blog dari para peneliti di Tim Riset 365 Defender Microsoft. Kerentanan itu diungkapkan ke TikTok oleh Microsoft, dan sejak itu telah ditambal.
Bug dan serangan yang dihasilkannya, yang dilabeli "kerentanan tingkat keparahan tinggi," dapat digunakan untuk membajak akun pengguna TikTok mana pun di Android tanpa sepengetahuan mereka, setelah mereka mengklik tautan yang dibuat khusus. Setelah tautan diklik, penyerang akan memiliki akses ke semua fungsi utama akun, termasuk kemampuan untuk mengunggah dan memposting video, mengirim pesan ke pengguna lain, dan melihat video pribadi yang disimpan di akun.
Potensi dampaknya sangat besar, karena memengaruhi semua varian global aplikasi Android TikTok, yang memiliki total lebih dari 1,5 miliar unduhan di Google Play Store. Namun, tidak ada bukti bahwa hal itu dieksploitasi oleh aktor jahat," kata juru bicara TikTok Maureen Shanahan. "Para peneliti yang terlibat dengan penemuan dan pengungkapan memuji TikTok atas tanggapan yang cepat."
Microsoft mengonfirmasi bahwa TikTok segera menanggapi laporan tersebut. "Kami memberi mereka informasi tentang kerentanan dan berkolaborasi untuk membantu memperbaiki masalah ini," kata Tanmay Ganacharya, direktur mitra untuk penelitian keamanan di Microsoft Defender for Endpoint, kepada The Verge. "TikTok merespons dengan cepat, dan kami memuji resolusi yang efisien dan profesional dari tim keamanan."
Menurut detail yang dipublikasikan di posting blog, kerentanan memengaruhi fungsionalitas tautan dalam aplikasi Android. Penanganan tautan dalam ini memberi tahu sistem operasi untuk membiarkan aplikasi tertentu memproses tautan dengan cara tertentu, seperti membuka aplikasi Twitter untuk mengikuti pengguna setelah mengklik tombol HTML "Ikuti akun ini" yang disematkan di halaman web.
Penanganan tautan ini juga menyertakan proses verifikasi yang seharusnya membatasi tindakan yang dilakukan ketika aplikasi memuat tautan yang diberikan. Tetapi para peneliti menemukan cara untuk mem-bypass proses verifikasi ini dan menjalankan sejumlah fungsi yang berpotensi dapat dijadikan senjata dalam aplikasi.
Salah satu dari fungsi-fungsi ini memungkinkan mereka mengambil token autentikasi yang terkait dengan akun pengguna tertentu, secara efektif memberikan akses akun tanpa perlu memasukkan kata sandi. Dalam serangan bukti konsep, para peneliti membuat tautan berbahaya yang, ketika diklik, mengubah bio akun TikTok menjadi bertuliskan "SECURITY BREACH."
screenshot dari akun yang terkena hacking
Untungnya, kerentanan terdeteksi, dan Microsoft telah menggunakan kesempatan tersebut untuk menekankan pentingnya kolaborasi dan koordinasi antara platform dan vendor teknologi.
"Karena ancaman di seluruh platform terus tumbuh dalam jumlah dan kecanggihan, pengungkapan kerentanan, respons terkoordinasi, dan bentuk lain dari berbagi intelijen ancaman diperlukan untuk membantu mengamankan pengalaman komputasi pengguna, terlepas dari platform atau perangkat yang digunakan," tulis Dimitrios Valsamaras dari Microsoft dalam posting blog. "Kami akan terus bekerja sama dengan komunitas keamanan yang lebih besar untuk berbagi penelitian dan intelijen tentang ancaman dalam upaya membangun perlindungan yang lebih baik untuk semua."
Meskipun aplikasi TikTok sejauh ini tidak diketahui telah mengalami peretasan besar, beberapa kritikus telah mencapnya sebagai risiko keamanan karena alasan lain.
Baru-baru ini, kekhawatiran telah dikemukakan mengenai sejauh mana data pengguna AS dapat diakses oleh para insinyur yang berbasis di China di ByteDance, perusahaan induk TikTok. Pada bulan Juli, para pemimpin Komite Intelijen Senat meminta ketua FTC Lina Khan untuk menyelidiki TikTok setelah laporan mempertanyakan klaim bahwa data pengguna AS ditutup dari cabang perusahaan Tiongkok.