Un programmatore indipendente è riuscito a trasmettere in streaming su un sito Web alcuni contenuti audio condivisi su Clubhouse: quello che inizialmente è stato identificato
(e confermato) come un data breach si configura come una violazione dati attraverso un abuso del servizio.A pochi giorni di distanza dall’annuncio di Clubhouse in merito all’adozione di nuove misure di sicurezza per garantire la protezione dei dati degli utenti e rispondere alle numerose richieste di chiarimenti sui problemi privacy dell’app
(tra cui anche quelli del Garante italiano), un attaccante ha dimostrato che le chat audio caratteristiche del social network non sono sicure “trafugando” i feed audio da più stanze per poi trasmetterli in streaming su un sito Web appositamente realizzato.Ma quello che inizialmente è stato identificato
(e confermato da parte della stessa Clubhouse) come un data breach dovuto allo sfruttamento di una qualche vulnerabilità di sicurezza, si configura in realtà come una violazione di dati in seguito ad un abuso del servizio e ad una violazione dei termini d’uso dell’app.L’accaduto, comunque, non fa che rafforzare le preoccupazioni degli esperti sulla sicurezza e sulla privacy del social network che ha basato il suo successo proprio sulle chat audio.
In un post su LinkedIn, Pierguido Iezzi, Cybersecurity Strategy Director e Co Founder di Swascan, sottolinea che quanto successo
“era da aspettarselo e, per dirla tutta, tutti lo stavamo aspettando. La visibilità e popolarità dell’applicazione ha attirato l’attenzione dei criminal hacker e, allo stesso tempo, anche quello dei ricercatori cyber. Era solo questione di tempo”In risposta al data breach, la società ha bloccato in maniera permanente l’account utilizzato dall’attaccante e attivato immediatamente nuove misure di sicurezza per prevenire attacchi simili in futuro, ma allo stesso tempo non è stata in grado di garantire che non ciò non possa accadere di nuovo.
📑 I dettagli del data breach nelle chat di Clubhouse
Uno studio condotto da Federico Maggi, Senior Threat Researcher di Tren Micro, esclude però che quanto accaduto sia configurabile come una violazione di sicurezza dell’app Clubhouse.
In particolare, è successo che uno sviluppatore ha creato un sito Web che, funzionando da mirror, ha permesso ad altri di ascoltare alcune chat vocali di Clubhouse utilizzando l’account dello sviluppatore stesso invece di uno personale.
Ciò è configurabile sicuramente come una violazione dei termini di servizio dell’app
(il programmatore ha violato i termini di servizio dell’app condividendo all’esterno contenuti vocali riservati esclusivamente a chi partecipava alle discussioni vocali), ma per condividere le chat non è stata sfruttata alcuna specifica vulnerabilità dell’applicazione e, soprattutto, il sito mirror non ha effettuato alcuna registrazione.Da qui, secondo il ricercatore Trend Micro, la difficoltà di Clubhouse nel garantire che quanto accaduto possa ripetersi in futuro: infatti, anche se questo tipo di abuso del servizio può essere reso più difficile, nessun servizio Web o social network ne è immune in quanto non c’è un modo tecnico per bloccare in modo affidabile gli abusi senza impattare la disponibilità agli utenti legittimi.
🔓 Cosa sappiamo del programmatore che ha “violato” Clubhouse
Da quello che si sa finora, lo sviluppatore indipendente di origini cinesi di cui non si conosce l’identità ha progettato un’applicazione open source che ha permesso agli utenti di smartphone Android di accedere alle chat audio sebbene l’app funzioni solo su iPhone e il servizio sia su invito.
