Cuentas de Instagram vulnerables a ataques (cambia tu contraseña!)

Recientemente, Facebook ha solucionado una serie de fallos de seguridad en el sistema de autenticación de Instagram que estaban siendo utilizados para robar contraseñas de Instagram mediante ataques de fuerza bruta. Cuando un usuario tiene una cuenta inactiva, esta se "congela" como medida de seguridad para evitar que un tercero puedan tomar su control y, cuando el dueño intenta iniciar sesión con el usuario y la contraseña originales, se le pide cambiar la clave para descongelarla y recuperar el control sobre ella.

Uno de los fallos de seguridad se encontraba en el proceso de restablecimiento de contraseña, el cual se asociaba a cada usuario mediante un identificador único que, si se modificaba por otro aleatorio, podía permitir a un atacante restablecer la contraseña de otro usuario al azar evitando incluso el proceso de autenticación con el servidor.

Otro fallo de seguridad en el sistema de autenticación se encuentra en la posibilidad de cambiar la dirección de correo y el número de teléfono asociado a una cuenta de manera mediante un proceso similar de manera que un atacante pueda pedir restablecer la contraseña vía SMS para tomar el control sobre el perfil de Instagram.

Entre ambos bugs, se podría haber vulnerado las cuentas de al menos 20 millones de usuarios de Instagram.

La solución era simple, pero la compañía no era consciente de la vulnerabilidad. Ahora, las páginas de actualización y cambio de perfil obligan a cumplir con la autenticación, por lo que, aunque intentemos acceder a una página de un usuario al azar para cambiar sus datos, no podremos hacerlo salvo que tengamos la correspondiente contraseña.

Estos fallos de seguridad en los diferentes procesos de autenticación han sido descubiertos por un investigador llamado Arne Swinnen y Facebook, como parte de su programa de recompensas, le ha pagado por él 5000 dólares. Además, el investigador de seguridad recomienda a los usuarios utilizar contraseñas largas y seguras (Instagram permite configurar contraseñas de hasta 40 caracteres) de manera que, aunque muchas vulnerabilidades no dependen de nosotros, al menos no podamos ser víctimas de ataques informáticos basados en fuerza bruta.

Fuente: Redes Zone