ВКонтакте и электронная почта – угроза безопасности

Издание «Цукерберг позвонит» сообщило недавно, что социальной сети «ВКонтакте» грозит серьезная опасность. Было обнаружено, что одна из функций в настройках аккаунта при неправильном с ней обращении, может открыть доступ к аккаунту пользователя не только в самой соцсети, но и на совершенно посторонних ресурсах.

Проблема кроется в новых адресах электронной почты, которые сеть «ВКонтакте» выдала своим пользователям. Используют их для того, чтобы публиковать на стене пользователя новости. Идея прекрасная, но в то же время, любое письмо, приходящее на данную почту сразу попадает на «стену», а значит, любое использование данного адреса электронной почты для, к примеру, регистрации на сторонних ресурсах, позволяет хакерам получить доступ ко всем данным пользователя.

Часто неблагонадежные ссылки «прячутся» в информационных письмах с других сайтов, а перейдя по ним можно получить доступ не только к самому сайту, но и к некоторым его настройкам. Если эти письма присылаются на адреса @post.vk.com, то все уникальные ссылки прямиком попадают на страницу пользователя, а значит, их можно легко обнаружить не только во внутреннем поиске сети, но и в поисковых системах, которые часто сохраняют даже тест записи.

Очень многие сайты, рассылающие пользователям информационные письма, попали под эту угрозу. Собственно, именно один из таких сайтов и забил тревогу, обнаружив такую серьезную уязвимость сервиса.

Еще одна проблема состоит в том, что такие автоматические письма, помимо прочей информации, содержат и адреса электронной почты пользователей. Это значит, что злоумышленники могут использовать их для того, чтобы от имени владельцев страниц в соцсети отправлять собственные посты, «не уводя», при этом, аккаунт владельца странички.

На данный момент электронная почта – один из самых популярных способов опубликовать на страничке «ВКонтакте» свои новости или фотографии. Настройки аккаунта позволяют пользователю запросить уникальный адрес, который будет выслан ему в смс-сообщении. Если данные, по каким-то причинам, утеряны или скомпрометированы, пользователь может запросить новые. Тем не менее, неясным остается только одно – с какой целью пользователи «ВКонтакте» оставляли адрес, пригодный только для конкретной соцсети, на множестве совершенно сторонних сайтов.

Информационное издание сообщило об этой проблеме 28 мая. О том, когда данные об уязвимости сервиса стали известны, не сообщается.