TikTok ha negado las afirmaciones de un grupo de hackers que dice haber robado datos de miles de millones de usuarios en todo el mundo y el código fuente de la red social. Todo empezó el viernes, cuando un grupo de piratas informáticos conocido como “AgainstTheWest” afirmaron en un foro de piratas informáticos haber violado tanto datos de TikTok como de WeChat, app de mensajería. El foro en cuestión es Breached.to.

Concretamente, los hackers dicen que tienen información de más de 2.000 millones de usuarios y el código fuente de la red social china. Según dijo, accedió en una instancia de la nube de Alibaba que contiene datos de los usuarios de TikTok y WeChat.

El hacker incluso compartió capturas de pantalla de una supuesta base de datos perteneciente a estas empresas en la que supuestamente tiene 2.050 millones de registros con 790 GB que contiene datos de usuarios, estadísticas de la plataforma, código de software, cookies, tokens de autenticidad, información del servidor y mucho más.

This is your forewarning. #TikTok has reportedly suffered a #data #breach, and if true there may be fallout from it in the coming days. We recommend you change your TikTok #password and enable Two-Factor Authentication, if you have not done so already. pic.twitter.com/SvifAp5B24

— BeeHive CyberSecurity (@BeeHiveCyberSec) September 4, 2022

Por ahora, TikTok lo niega, We Chat no se ha pronunciado y Microsoft ha encontrado una grave vulnerabilidad en la red social de los vídeos. Hay quienes creen que TikTok miente para salvaguardar su imagen (hay que recordar las constantes sospechas de que es una herramienta usada por el gobierno chino, a quien tiene que contentar, para conseguir información).

TikTok lo niega todo

Tras esto, hace unas horas, fuentes de TikTok han dicho BleepingComputer que los datos publicados en este foro de hacking son “completamente ajenos” a la empresa. Según la compañía, el código fuente compartido en los foros de hackeo no tiene ninguna relación con el código fuente del backend de TikTok.

Sobre los datos, la red social que más competencia le hace a Meta afirma que los datos de los usuarios filtrados no pueden ser el resultado de un raspado directo de su plataforma. Y es que la plataforma dice que tiene programas de seguridad adecuados para evitar que los scripts automatizados recopilen información de los usuarios, aunque sí que muchos datos podrían haberse recopilado de las informaciones públicas de los usuarios.

Troy Hunt, el creador del servicio HaveIBeenPwned, dijo en Twitter que algunos de los datos sí son válidos, pero no pudo encontrar nada que no esté disponible públicamente en TikTok.

This is so far pretty inconclusive; some data matches production info, albeit publicly accessible info. Some data is junk, but it could be non-production or test data. It’s a bit of a mixed bag so far.

— Troy Hunt (@troyhunt) September 5, 2022

WeChat no se ha pronunciado respecto a esto. Cabe recordar que aunque WeChat y TikTok son empresas chinas, no son propiedad de la misma empresa matriz. WeChat es de Tencent (un gigante del sector de los videojuegos) y la segunda a ByteDance.

Quién es AgainstTheWest

Aunque el nombre de AgainstTheWest (“contra occidente”) puede parecer son hackers que se dirige a los países occidentales, en realidad dicen que su objetivo son los países y empresas hostiles a los intereses occidentales.

Por el momento, según expertos en seguridad, está centrado en China y Rusia y tienen planes para atacar a firmas y entidades de Corea del Norte, Bielorrusia e Irán. Se supo de ellos por primera vez a finales del pasado año 2021.

La vulnerabilidad que ha visto Microsoft

Microsoft, que quiso comprar TikTok cuando en Estados Unidos el gobierno la quería prohibir, ha descubierto, mientras tanto, una vulnerabilidad en la app para Android.

Microsoft dijo que había encontrado una “vulnerabilidad de alta gravedad” en la aplicación Android de TikTok, “que habría permitido a los atacantes comprometer las cuentas de los usuarios con un solo clic”.

Según la de Redmond, esta vulnerabilidad tiene que ver con un descuido en la funcionalidad de enlaces profundos de TikTok. En Android, los desarrolladores pueden programar sus aplicaciones para que manejen ciertas URLs de manera específica.

Por ejemplo, cuando tocas una incrustación de Twitter en Chrome y la aplicación de Twitter se abre automáticamente en tu teléfono como resultado, es un ejemplo de la función de enlace profundo.

En este caso, Microsoft encontró una forma de eludir el proceso de verificación que TikTok tenía para restringir que los enlaces profundos ejecutaran ciertas acciones.

A continuación, descubrieron que podían utilizar esa vulnerabilidad para acceder a todas las funciones principales de una cuenta, incluida la capacidad de publicar contenido y enviar mensajes a otros usuarios de TikTok. El fallo estaba presente en las dos versiones globales de la aplicación Android de TikTok.