Ashley Madison tem falha que dá acesso indevido a fotos privadas

A descoberta foi feita pelo pesquisador de segurança Matt Svensson, e envolve a forma como o próprio site trata o armazenamento de arquivos. Por padrão, o Ashley Madison possui dois tipos de fotos: as imagens públicas podem ser vistas por todos, enquanto as privadas estão protegidas por uma chave de segurança, que deve ser liberada pelo dono para que outros usuários as acessem.

O problema ocorre nas configurações do site, que, por padrão, liberam a chave de um usuário para qualquer conta que compartilhar a sua primeiro. Isto significa que é fácil uma pessoa ter acesso ao conteúdo privado de outra sem que ela saiba.

Para comprovar a relevância do problema, os pesquisadores criaram um programa que enviou automaticamente sua própria chave para uma parcela aleatória de cerca de 1 milhão de usuários que possuiam fotos privadas e descobriu que 64% deles retornavam as próprias chaves automaticamente.

A mesma ferramenta está disponível em dois outros sites da Avid Life Media, desenvolvedora responsável pelo Ashley Madison, mas é desabilitada por padrão. A empresa foi informada do problema e respondeu que faz parte da forma com a qual ela pretende que o site opere e se recusou a mudar a opção, embora tenha limitado a quantidade de chaves que podem ser compartilhadas por dia.

Esta, porém, não é a única vulnerabilidade encontrada no sistema de fotos do Ashley Madison. A URL das imagens não é protegida e pode ser acessada por qualquer um que possua o endereço, mesmo que a pessoa não seja usuária do site. A única forma de proteção é uma modificação no nome do arquivo, que passa a ter 32 caracteres, o que dificulta a descoberta de fotos por acaso.

O Ashley Madison ficou conhecido em 2015, após o vazamento de um pacote com mais de 32 GB de dados de mais de 32 milhões de usuários, que incluía dados de identificação e cartões de crédito — causando o fim de casamentos.

Via MacKeeper

Dúvidas sobre segurança digital? Pergunte no Fórum do TechTudo.