Falha de segurança no Instagram permitia alterar privacidade do perfil

Uma falha de segurança no Instagram foi corrigida no início deste mês. A questão é que ela foi informada ao Facebook em 23 de agosto de 201. Detalhes da brecha, que permitia alterar a privacidade do perfil – para público ou privado – foram publicados nesta semana pelo especialista em segurança espanhol Christian Lopez.

Ele encontrou a configuração que altera o perfil para público ou privado no aplicativo do Instagram para celulares. Quando essa alteração é feita, o Instagram envia uma solicitação simples ao servidor. O problema é que essa solicitação não era autenticada, ou seja, não verificava se o usuário estava mesmo no site do Instagram e podia ser imitada por qualquer site na web.

Assim, se um usuário logado no Instagram acessasse uma página maliciosa, esta poderia alterar a configuração do perfil, fazendo a solicitação em nome do usuário sem o consentimento dele. Embora o site malicioso possa fazer essa alteração, em nenhum momento ele obtém acesso à senha ou aos “cookies” que dão acesso ao perfil do Instagram. O ataque fica limitado às opções que não são autenticadas.

Alterar a configuração para pública poderia permitir que um criminoso baixasse fotos particulares armazenadas em um perfil do Instagram. De acordo com o Facebook, nenhum usuário teria sido atacado por meio da brecha no período em que ela ficou aberta.

Embora a configuração da privacidade do perfil esteja disponível na interface para celulares, a exploração pode ocorrer no PC, porque o Instagram não diferencia as sessões para celulares e computadores. Entretanto, como usuários em celulares normalmente acessam o Instagram pelo aplicativo e não estão logados no site pelo navegador do aparelho, a falha seria mais difícil de ser explorada diretamente no celular.

Para evitar problemas de compatibilidade com versões antigas do app, o Instagram adicionou um filtro que impede a parte do site para celular de ser acessada por um usuário logado por um navegador no PC.

Com informações de G1