Lek maakt Snapchat kwetsbaar voor aanvallen

Een nieuw ontdekte kwetsbaarheid in Snapchat zorgt ervoor dat kwaadwillenden een denial-of-service-aanval kunnen doen. Die heeft tot gevolg dat je toestel vastloopt en crasht, zo heeft onderzoeker Jaime Sanchez ontdekt. Sanchez gaf de Los Angeles Times een demonstratie van zo’n aanval. In het dagelijkse leven werkt hij als beveiligingsconsultant voor Telefonica, een Spaanse telecomreus. De kwetsbaarheid in Snapchat maakt het mogelijk om in een paar seconden duizenden berichten naar een gebruiker te sturen.

Snapchat is een populaire app voor iPhone en Android-toestellen, waarmee je foto’s en korte videoberichten naar anderen kunt sturen. Ze verdwijnen na een paar seconden. In het verleden had Snapchat ook al regelmatig last van beveiligingsproblemen, onder andere in 2013 toen de beveiligingsgroep Gibson Security erop wees dat persoonlijke gegevens gemakkelijk te achterhalen zijn.

Deze keer heeft het probleem te maken met de gegenereerde tokens. Telkens wanneer je een berichtje via Snapchat probeert te sturen, dan wordt er een token aangemaakt. Dit is een code, die bestaat uit letters en cijfers. De token wordt gebruikt om berichten van elkaar te onderscheiden. Maar Sanchez ontdekte in zijn vrije tijd dat hackers oude tokens meermaals kunnen gebruiken voor het verzenden van een nieuw bericht. Dit stelt ze in staat om enorme hoeveelheden Snapchat-berichten te sturen. Het genereren van steeds een nieuw token is immers niet meer nodig. Het zou misbruikt kunnen worden door spammers, die miljoenen berichten naar gebruikers willen rondsturen, in de hoop dat een gedeelte van de slachtoffers toehapt.

Tijdens de demonstratie voor LA Times stuurde Sanches duizend berichten in een periode van slechts vijf seconden. Zolang de aanval duurt kun je je smartphone niet gebruiken. Sanchez heeft geen contact opgenomen met Snapchat, omdat hij pessimistisch is. Hij vindt dat de fotodienst geen respect heeft voor beveiligingsonderzoekers, zoals bleek in de privacyzaak van Gibson Security. De gegevens van 4,6 miljoen gebruikers werden daardoor gelekt, terwijl de fout al maanden bekend was.