Twitter soluciona una vulnerabilidad que permitía acceder a nuestros mensajes directos

Actualmente, el uso de Twitter por más de 200 millones de usuarios lo convierte en una  importante plataforma donde se intercambian millones de mensajes cada día. Además, de poder lanzar mensajes para que los lean nuestros seguidores o cualquiera que se interese por lo que decimos, es posible intercambiarse mensajes directos entre otros usuarios que sigamos y ellos a su vez nos sigan.

Este tipo de mensajería es privada, o al menos eso creíamos hasta leer la experiencia personal que el investigador Cesar Cerrudo ha publicado en el blog de IOActive Labs y que nuestros compañeros de ESET Latinoamérica recogen en su blog. Este investigador instaló una aplicación en desarrollo y comprobó que no disponía de permisos para conocer las credenciales ni para acceder a mensajes privados. No obstante, tras reiniciar la sesión repetidas veces, comprobó que esta aplicación podía acceder a los mensajes privados aunque ese permiso no se le había concedido.

Al parecer, este acceso no autorizado se debía a una vulnerabilidad en Twitter de la cual avisó el propio investigador al equipo de seguridad de esta conocida red de microblogging. Aparentemente, esta vulnerabilidad ya ha sido solucionada aunque no se avisó a los usuarios de su existencia, y eso puede causar que sigan habiendo usuarios vulnerables al haberse de eliminar manualmente los permisos de las aplicaciones que tienen acceso a nuestros mensajes directos.

Para revisar si tenemos instalada alguna de estas aplicaciones que curiosean entre nuestros mensajes directos, primero debemos acceder a la configuración de las aplicaciones que estamos usando en nuestra cuenta de Twitter. Allí podremos revisar todas las aplicaciones que acceden a nuestra cuenta y los permisos que poseen, tal y como vemos en la siguiente imagen:

Para cada aplicación existen diferentes permisos. Algunas permiten leer y escribir tweets. Otras también admiten leer, escribir y además enviar mensajes directos, por lo que tienen acceso a los mensajes privados del usuario. No es algo peligroso si conocemos las aplicaciones que tienen esos permisos, pero puede serlo si esos mismos permisos los posee una aplicación que no debería tenerlos.

Puesto que Twitter ya ha solucionado esta vulnerabilidad tan solo tenemos que revisar las aplicaciones que tenemos autorizadas y eliminar aquellas que dispongan de demasiados permisos sin nuestra autorización.

Josep Albors