La laguna de seguridad de Instagram permite a los atacantes borrar fotos y hacerse cargo de las cuentas

Instagram puede haberse convertido en la aplicación para compartir fotos más popular y utilizada para las plataformas iOS y Android, pero al igual que cualquier otra aplicación, no es perfecta. De hecho, recientemente se ha descubierto una nueva laguna. Según los expertos, la nueva falla de seguridad de Instagram puede permitir a los atacantes borrar fotos o incluso tomar cuentas. La laguna se descubrió en la versión 3.1.2 de Instagram que se ejecuta en un dispositivo iOS.

La API de Instagram usa conexiones HTTP y HTTPS para enviar solicitudes y datos. La información confidencial, como los datos de edición de perfiles y las credenciales de inicio de sesión, a menudo se envían a través de HTTPS porque es un canal seguro. Pero recientemente, la gente de reventlov.com descubrió que algunos datos se envían a través del otro canal, lo que los hace vulnerables a la explotación por parte de algunos atacantes que pueden haber conocido la laguna.

Si los datos se envían a través del canal HTTP, la única forma de autenticación requerida es una cookie estándar que a menudo se envía sin cifrado cada vez que un usuario inicia la aplicación de Instagram. Los atacantes que pueden estar en la misma red que con el iPhone o iPad pueden ser capaces de interceptar los datos a través de un simple ataque de arpspoofing y pueden explotar la información a su gusto. Si esto sucede y los atacantes pueden autenticarse utilizando información interceptada, ya tienen un acceso definitivo a la cuenta y pueden cambiar las credenciales de inicio de sesión en cualquier momento o eliminar fotos.

Las personas que descubrieron la falla la hicieron pública el 10 de noviembre y se pusieron en contacto con Instagram al respecto un día después, pero todo lo que obtuvieron fue una respuesta automática. Hasta ahora, este problema aún puede estar en curso, por lo que los propietarios de dispositivos iOS que usen Instagram con más frecuencia deberían usar el canal HTTPS la mayoría de las veces, o nunca usar un punto de acceso WiFi abierto.

Es posible que este problema solo afecte a Instagram, pero más a menudo, los atacantes saben exactamente qué encontrar para poder acceder a otras cuentas, como Facebook, Twitter e incluso correos electrónicos. Se deben tomar medidas de precaución, especialmente por las personas que podrían estar almacenando algunos datos confidenciales en sus dispositivos.

[fuente: Reventlov]