Годом ранее британские спецслужбы предупреждали компанию об уязвимости приложения. Однако их письмо проигнорировали. Журналисты Forbes попытались выяснить, связаны ли взломы с победившим на выборах Эрдоганом.
Годом ранее британские спецслужбы предупреждали компанию об уязвимости приложения. Однако их письмо проигнорировали. Журналисты Forbes попытались выяснить, связаны ли взломы с победившим на выборах Эрдоганом.
По данным издания, ещё до майских выборов в Турции и. о. начальника службы безопасности TikTok Ким Альбарелла получила информацию, что около 700 тысяч учетных записей в стране были скомпрометированы взломом. Это позволило злоумышленникам получить доступ к личной информации пользователей и управлять их учетными записями. Внутренняя переписка и другие источники в компании показывают, что руководство знало об уязвимости, которая возникла из-за так называемой «серой маршрутизации» SMS-сообщений.
Ранее в апреле 2022 года начальник службы безопасности TikTok Роланд Клотье получил электронное письмо из Национального центра кибербезопасности Великобритании — подразделения разведывательного управления GCHQ. В письме ведомство предупреждало, что эта практика уязвима для «SIM-ферм» из России и других стран, которые могут запрашивать и перехватывать одноразовые пароли для доступа к аккаунтам пользователей соцсети. Однако в компании не придали значение этому предупреждению.
Клотье вскоре уволили по другому поводу: власти США подозревали, что сотрудники TikTok из других стран имеют доступ к персональным данным американских пользователей — и филиал соцсети в США не имеет надежных средств контроля кибербезопасности. Чтобы не накалять обстановку, Клотье перешел на незначительную должность консультанта «по вопросам влияния программ безопасности на бизнес компании». Вместо него исполняющей обязанности назначили Альбареллу. Гендиректор TikTok Шоу Зи Чу пообещал, что для управления данными в США компания создаст отдельную структуру.
Серая маршрутизация означает отправку SMS-сообщений по незащищенным каналам с целью обхода сборов, которые установлены международными телекоммуникационными соглашениями. Такие обходные маршруты позволяют компаниям сэкономить деньги и избежать ограничений, которые накладывают страны: например, скорости или для предотвращения спама. Тем не менее такая практика не защищает сообщения от перехвата, чем пользуются злоумышленники.
Клотье и его команда провели внутреннее расследование и выяснили, что ByteDance — материнская компания TikTok — действительно использует такие схемы для снижения затрат. Встал вопрос о смене поставщиков SMS-сообщений, но этого не стали делать, поскольку это обошлось бы компании в миллионы долларов ежемесячно.
Невозможно детально оценить, насколько серьезным был взлом аккаунтов в Турции. По мнению Алекса Стамоса, директора Стэнфордской интернет-обсерватории и бывшего руководителя службы безопасности Facebook, речь может идти о сверхмасштабной спам-атаке, за которой могут стоять местные спецслужбы. Однако Стамос отметил, что атаки с перехватом SMS более целенаправленные, чем случайные взломы, и «авторитарные государства почти всегда контролируют телекоммуникационные компании» в стране.
Событие стало крупнейшим известным взломом учетных записей TikTok, который признает сама компания. Предыдущую информацию об утечке в сентябре 2022 года 790 Гбайт данных пользователей соцсеть опровергла. Представитель TikTok Алекс Хаурек заявил, что компании известно о необычной активности в апреле, которая затронула лайки и учетные записи. «Мы немедленно предприняли шаги по отмене и прекращению этой деятельности, уведомили пострадавших пользователей и помогли им защитить свои учетные записи», — добавил он.
Соцсеть настаивает, что платформа не была взломана и ни одна из внутренних систем не была скомпрометирована. «Когда TikTok стало известно об этом инциденте, мы немедленно усилили мониторинг, одновременно работая над устранением проблемы, которая была решена», — пояснил Хаурек. Однако такая большая брешь в системе безопасности одной из самых популярных соцсетей в мире не может остаться незамеченной. Это лишь добавляет вопросы к обеспечению безопасности данных в TikTok.
Ранее Forbes сообщил, что компания хранила конфиденциальную финансовую информацию тысяч американских поставщиков в Китае, несмотря на заявления гендиректора TikTok Шоу Зи Чу. Тот во время слушаний в Конгрессе США утверждал, что «американские данные всегда хранились в Вирджинии и Сингапуре». Поводом для слушаний стало расследование деятельности TikTok по подозрению в слежке за журналистами.
Неопределенным остается заказчик взлома аккаунтов. Турецкие власти используют спонсируемые государством сети троллей. Также перед майскими выборами соцсети наводнили дипфейки и дезинформация как провластных пользователей, так и оппозиционных. Однако представитель TikTok Алекс Хаурек утверждает, что внутреннее расследование не нашло доказательств связи взломов с выборами в Турции.
В начале июля соцсеть сообщила, что приложение вводит ключи доступа — способ для пользователей входить в свои учетные записи без использования SMS-сообщений. Также TikTok присоединился к ассоциации FIDO Alliance, которая разрабатывает и продвигает стандарты аутентификации. На вопрос об использовании серой маршрутизации Алекс Хаурек ответил, что компания не раскрывает своих телекоммуникационных партнеров.
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.
"... британские спецслужбы ..."
А точнее:
"... Национального центра кибербезопасности Великобритании — подразделения разведывательного управления GCHQ. ..."
Сами спросили, сами и ответили.