社交媒体促进服务暴露了数千个Instagram密码

 
一家社交媒体促进创业公司，将其自身作为一项服务来增加用户的Instagram粉丝数，已公开了数千个Instagram帐户密码。
该公司名为Social Captain的公司表示，通过将其帐户连接到其平台，可以帮助成千上万的用户增加Instagram粉丝数。要求用户在平台上输入其Instagram用户名和密码以开始使用。
但是TechCrunch本周了解到，Social Captain正在使用未加密的纯文本存储链接的Instagram帐户的密码。在Social Captain个人资料页面上查看过网页源代码的任何用户，只要已将其帐户连接到平台，就可以清楚地看到其Instagram用户名和密码。
更糟糕的是，一个网站错误使任何人都无需登录即可访问任何Social Captain用户的个人资料-只需将用户的唯一帐户ID插入公司的网址即可授予对其Social Captain帐户的访问权限-以及他们的Instagram登录凭据。
由于用户帐户ID在大多数情况下是连续的，因此可以相对轻松地访问任何用户的帐户并查看其Instagram密码和其他帐户信息。
一位不愿透露姓名的安全研究员向TechCrunch通知了该漏洞，并提供了一个包含约10,000个报废用户帐户的电子表格。 (最近的一项法院裁决发现，抓取网站并不违反美国的计算机黑客法。)该电子表格包含约4,700套完整的Instagram用户名和密码。其余记录仅包含用户名和电子邮件地址。
数据还显示这些帐户是免费试用帐户还是付费高级帐户。数据显示，只有大约70个帐户在向客户付款，但是其中许多高级帐户还包含客户的帐单邮寄地址。
我们通过创建虚拟Instagram帐户并将其连接到新的Social Captain帐户，并在Social Captain上查看我们的个人资料页面的网页源代码来验证了该错误。
TechCrunch与我们联系后，Social Captain确认已通过阻止直接访问其他用户的个人资料来修复此漏洞。
但是，密码和其他帐户信息仍然可以在用户个人资料页面的网页源代码中看到。
“早期分析表明，该问题是在过去几周引入的，当时该端点旨在促进与第三方电子邮件服务的集成，而无需基于令牌的身份验证就可以暂时访问该端点，” Social Captain首席执行官Anthony Rogers说。 。
他说：“一旦完成内部调查，我们将提醒用户如果受到破坏可能会受到影响，并提示他们更新相关的用户名和密码组合。”
罗杰斯没有透露调查需要多长时间。
Instagram表示，该服务通过不正确地存储登录凭据违反了其服务条款。
“我们正在调查，并将采取适当行动。我们强烈鼓励人们不要将密码泄露给他们不认识或不信任的人。” Instagram发言人说。
注册了Social Captain的用户应立即更改其Instagram密码。
这是Instagram用户遭受的最新安全事件，即使这家Facebook拥有的社交媒体巨头并非直接因这一失误而受罪。去年，在一家印度社交媒体公司大规模地删除了Instagram影响者的联系信息后的几个月，Instagram扩大了其漏洞赏金范围，包括滥用帐户数据。 Instagram去年还切断了一个值得信赖的广告合作伙伴，以秘密收集和存储数百万用户的位置和其他数据。