Взломать Инстаграм за десять минут? Легко!

Исследователь в сфере безопасности Лаксман Мутийя обнаружил в Инстаграме уязвимость, с помощью которой всего за десять минут получил доступ к любому аккаунту. Своим открытием исследователь поделился в собственном блоге Zero Hack.

Инстаграм позволяет пользователям восстановить пароль путём подтверждения шестизначного кода, отправленного на номер мобильного телефона или электронную почту. Кодов не так уж много, всего с миллион, и Мутийя предположил, что можно их угадать, если очень быстро сделать достаточно попыток. Но когда он попробовал это на практике, оказалось, что количество запросов ограничено для одного IP-адреса. Эксперт смог преодолеть ограничение, использовав тысячу IP-адресов, с которых и отослал коды. Так он успел отправить около 200 тысяч запросов, хотя время действия кода истекает всего за десять минут. В конечном итоге выяснилось, что любой аккаунт в Инстаграме можно легко взломать, имея пять тысяч IP-адресов для отправки с них миллиона запросов. Кратковременная аренда IP-адресов обошлось эксперту всего в $150, или около 9 тысяч рублей.

Мутийя сообщил о найденной им дыре Фейсбуку, владеющему Инстаграмом. Компания наградила специалиста $30 тысячами за найденную уязвимость, предварительно от неё избавившись.