Celah Keamanan di Instagram Bikin Orang Lain Bisa Intip Akun yang Dikunci Tanpa Harus Follow
Ilustrasi akun Instagram yang dikunci
Cyberthreat.id - Seorang peneliti menemukan celah keamanan di Instagram. Kelemahan ini membuat orang dapat melihat unggahan sebuah akun yang dikunci atau diatur untuk private tanpa harus menjadi pengikutnya (follower).
Seperti diketahui, sebagian orang memilih untuk mengunci akunnya sehingga hanya orang yang menjadi follower-nya saja yang bisa melihat unggahannya. Opsi itu dipilih antara lain karena si pemilik akun lebih nyaman jika hanya orang-orang yang diizinkan saja (dengan menerimanya menjadi follower) yang melihat unggahannya.
Namun, peneliti keamanan bernama Mayur Fartade menemukan adanya kelemahan dalam kode skrip Instagram yang membuat seseorang bisa mengintip akun private tanpa harus menjadi pengikutnya.
Dalam sebuah unggahan di Medium hari ini (15 Juni 2021), Fartade mengatakan celah keamanan itu bisa memungkinkan penguna jahat mengintip media yang ditargetkan di Instagram.
"Seorang penyerang bisa saja dapat melihat detail postingan pribadi/arsip, cerita, reels, atau IGTV tanpa mengikuti akun itu menggunakan ID Media," tulis Fartade
Fartade telah melaporkan masalah itu kepada tim keamanan Facebook (selaku pemilik Instagram) pada 16 April 2021. Atas laporan itu, Fartade mendapat hadiah US$ 30 ribu sebagai bagian dari program bug bounty perusahaan.
Meskipun penyerang perlu mengetahui ID media yang terkait dengan gambar, video, atau album, Fartade menunjukkan itu dapat dilakkukan dengan teknik brute-forcing dan membuat permintaan POST ke endpoint GraphQL dan menerima data sensitif.
Sebagai konsekuensi dari kelemahan itu, detail seperti jumlah like/comment/save,display_url, dan image.uri yang sesuai dengan ID media dapat diekstraksi bahkan tanpa mengikuti pengguna yang ditargetkan, selain juga memperlihatkan Halaman Facebook yang dihubungkan ke akun Instagram.
Fartade mengatakan dia juga menemukan endpoint kedua pada 23 April yang mengungkapkan kumpulan informasi yang sama.
Facebook sejak itu telah mengatasi masalah tersebut.[]
