Твой промокод на КиноПоиск
INTERWEBZ
18+

Разработчик обнаружил возможность читать переписку пользователей «ВКонтакте» через SimilarWeb Материал редакции

Во «ВКонтакте» заявили, что проблему создали сторонние разработчики, и соцсеть не имеет к ней отношения.

В закладки

Анонимный CEO-разработчик Yoga2016 рассказал об уязвимости во «ВКонтакте», которая позволяет читать личные сообщения через сервис статистики SimilarWeb. В разговоре с TJ он сообщил, что обращался в поддержку соцсети, но не получил ответа.

SimilarWeb — сервис по получению статистики сайтов и соцсетей из поисковиков, который собирает данные о трафике, самых просматриваемых материалах, популярности в определённых странах.

Как отметил Yoga2016, платная версия SimilarWeb позволяет посмотреть 300 самых популярных материалов конкретного сайта для анализа посещаемости. Он использовал сервис в случае со «ВКонтакте», но получил ссылки на личные сообщения 300 случайных пользователей. По его словам, он получал ссылки на переписки каждые пять дней в течение нескольких недель. TJ не будет прикреплять ссылки на личные страницы с переписками с целью сохранить приватность сообщений.

Вот так выглядит список ссылок на личные сообщения пользователей, который частично замазан из соображений безопасности

Разработчику удалось выгрузить несколько историй переписок пользователей: чтобы посмотреть их, он добавил к адресу из SimilarWeb «.xml». Он прислал несколько ссылок на переписки пользователей, где в строке user указаны id-адреса некоторых из них. Там же можно найти фотографии, пароли и другие личные данные.

Всего в Similarweb выводятся 300 случайных страниц пользователей соцсети, отобранных как «популярные». Неясно, как они отбираются, потому что у некоторых из них около 50 друзей и слабая активность на странице.

Редактор TJ обратился за комментарием к попавшим в SimilarWeb пользователям, после чего увидел своё же сообщение в ссылке из сервиса.

При этом, переписки пересекаются между собой, хотя пользователи никак не связаны и не писали друг другу — это выглядит как общий массив личных сообщений, разбитый на несколько блоков. По мнению Yoga2016, SimilarWeb анализирует не только поисковики, но и браузеры пользователей, чтобы учитывать, куда они чаще всего заходят.

Как рассказал Yoga2016, он подавал заявку в Bounty-программу от «ВКонтакте», где пользователи могут сообщать об уязвимости соцсети и получать за это деньги от разработчиков. По словам разработчика, на его сообщение не отреагировали, а тред с обсуждением этого недочёта вскоре удалили.

TJ рассказали в пресс-службе «ВКонтакте», что уязвимость не связана с проблемой соцсети, а создана разработчиками, которые имеют доступ к API. К примеру, они могут использовать личную переписку в альтернативных клиентах для мессенджера «ВКонтакте» с разрешения пользователей.

Мы предполагаем, что некоторые разработчики могли злоупотребить этими правами и по какой-то причине передать данные в SimilarWeb. Важно отметить, что таким образом было получено только 400 токенов, то есть известно 400 пользователей, которые осознанно передали небезопасному приложению доступ к своим личным данным.

В настоящий момент мы оперативно расследуем этот вопрос и уже заблокировали подобные токены, чтобы обезопасить пользователей.

пресс-служба «ВКонтакте»

В пресс-службе SimilarWeb также пока не ответили на запрос о комментарии.

ты узнаешь автора этих статей по заголовку, так что подписывайся — https://t-do.ru/cumonmychannel
{ "author_name": "Николай Чумаков", "author_type": "editor", "tags": ["\u0445\u0430\u043a\u0435\u0440\u044b","\u0441\u043e\u0446\u0441\u0435\u0442\u0438","\u0432\u043a\u043e\u043d\u0442\u0430\u043a\u0442\u0435"], "comments": 38, "likes": 88, "favorites": 8, "is_advertisement": false, "subsite_label": "internet", "id": 67265, "is_wide": false, "is_ugc": false, "date": "Tue, 06 Mar 2018 20:19:04 +0300", "is_special": false }
18+
Ходите в кино дома
Проведите 45 дней с КиноПоиск
по промокоду INTERWEBZ
Промокод будет скопирован
Промокод действует до 10.07.20 для новых подписчиков онлайн-кинотеатра КиноПоиск HD на 45 дней бесплатной подписки. Условия просмотра: ya.cc/4y4UX
Объявление на TJ
Комментарии

Коммунистический калькулятор

15

Комментарий удален по просьбе пользователя

Формальный бас

2

Блять, если сторонний сервис может плейн текст сообщений выдавать никак не авторизуя заходящего, это же натуральная бага ВК. Причем настолько убогая отмазка, что волосы шевелиться начинают. Откуда я, к примеру, могу знать, что "полный" SimilarWeb не может читать переписку конкретного пользователя? Охуевшие, сука.

Добровольный кубок

3

Мы предполагаем, что некоторые разработчики могли злоупотребить этими правами и по какой-то причине передать данные в SimilarWeb

Нахера вообще давать возможность по средствам API читать личную переписку?
Дали такую возможность и удивляются, что ее используют.
Суккка

Интернет
дискуссии в сообществе доступны только владельцам клубного аккаунта
С клубным аккаунтом вы сможете
создавать записи и вести дискуссии в закрытых сообществах
наслаждаться нашим сайтом без рекламы
помочь проекту и почувствовать себя лучше
Купить за 75₽
Обсуждаемое
Истории
«Я живу на улице 15 дней»: TJ побывал на забастовке курьеров и пообщался с ними о конфликте с Delivery Club
Курьеры требовали встречи с руководством компании, вместо этого к ним пришёл «Левый фронт».
Новости
«Пусть весь мир узнает, что за бардак в стране»: Жириновский пригрозил выходом ЛДПР из Госдумы из-за задержания Фургала
И пообещал, что губернатора Хабаровского края исключать из партии не будут.
Новости
Тысячи людей вышли на митинг в поддержку Сергея Фургала в Хабаровске
Несколько часов они скандировали «Свободу Фургалу» и «Фургал — наш выбор».
Популярное за три дня
Животные
Рыжик — котик, который смог (часть 1)
У нас не было домашнего животного, хотя мы оба хотели котейку, но не заводили и всегда находили для этого разные причины.
Новости
В Петербурге на флагштоке школы появился флаг ЛГБТ
Директор школы назвала это диверсией и обратилась в полицию.
Новости
Variety: Spotify запустится в России уже 15 июля — с МТС в качестве партнёра
Накануне в сервисе появилась русскоязычная реклама. Может, наконец-то этот день и настанет.

Комментарии