Instagram heeft de privacy van zijn gebruikers geschonden door mensen vast te houden’ foto's en privéberichten op zijn servers, zelfs nadat mensen ze hebben verwijderd.
De kwetsbaarheid werd ontdekt door onderzoeker Saugat Pokharel toen hij vorig jaar zijn data van Instagram downloadde. Zo kwam hij erachter dat de gegevens foto's en berichten bevatten die hij eerder had verwijderd. De onderzoeker kreeg een beloning van $6,000 voor het ter sprake brengen van dit probleem via het bugbounty-programma van Instagram.
In een gesprek met TechCrunch, Pokharel zei dat Instagram zijn gegevens niet heeft verwijderd, zelfs niet als hij ze van zijn kant heeft verwijderd. Eens realiseerde hij zich dit probleem, hij meldde het. Dit was in oktober 2019.
Kwetsbaarheid op Instagram verklaard
De bug bestond in een functie die Instagram weer heeft toegevoegd 2018 in overeenstemming met de AVG. De regelgeving verplicht bedrijven die in Europa actief zijn om de autoriteiten binnen te informeren 72 uren van een datalek, of geconfronteerd worden met financiële sancties. Dankzij de AVG-functie konden mensen hun gegevens downloaden op dezelfde manier als Facebook, het moederbedrijf, verstrekt aan zijn gebruikers.
Dit is niet het eerste geval waarin Instagram niet voldoet aan het verwijderen van gegevens van mensen. Vorig jaar, een andere onderzoeker, Karan saini, ontdekte dat de dienst voor het delen van foto's jarenlang directe berichten negeerde, zelfs wanneer verwijderd. Saini onthulde ook dat Instagram de gegevens van en naar accounts heeft gestuurd die zijn gedeactiveerd of opgeschort.
Het goede nieuws is dat de bug die door Pokharel is ontdekt, niet in het wild lijkt te zijn uitgebuit.
Vorig jaar, ontdekte beveiligingsonderzoeker Laxman Muthiyah een kritieke kwetsbaarheid waardoor externe aanvallers het wachtwoord van Instagram-accounts konden resetten, waardoor volledige toegang tot de gecompromitteerde accounts verkrijgen. De kwetsbaarheid woonde in het password recovery mechanisme in de mobiele versie van Instagram.
De kwetsbaarheid werd gemeld aan Facebook, maar het duurde enige tijd voor Facebook's security team om het probleem te reproduceren als de informatie in het rapport van de onderzoeker was niet genoeg. Echter, de proof-of-concept-video overtuigde hen ervan dat zijn aanval haalbaar was.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: