Анонимный разработчик нашел способ читать переписку пользователей «ВКонтакте»

Анонимный разработчик под ником Yoga2016 обнаружил возможность прочитать личные сообщения пользователей «ВКонтакте» через сервис онлайн-статистики SimilarWeb. В пресс-службе соцсети объяснили, что уязвимостью это не является, передает TJ.

Платная версия SimilarWeb позволяет просмотреть 300 самых популярных материалов любого сайта. Сделав такой запрос по vk.com, разработчик неожиданно получил ссылки, по которым через API «ВКонтакте» с помощью присутствующих в ссылке специальных токенов — своего рода кодов доступа — открывались личные сообщения 300 случайных пользователей социальной сети.

Некоторые полученные ссылки содержали идентификатор пользователя, что позволяет сопоставить переписку с конкретным человеком, если он зарегистрирован во «ВКонтакте» под реальным именем. В переписках, доступных через SimilarWeb, обнаруживались личные фотографии, документы, и даже пароли к сторонним сервисам.

Yoga2016 сообщил, что подавал заявку в программу «ВКонтакте» по вознаграждению за найденные уязвимости, однако его сообщение проигнорировали, а тред с обсуждением через небольшое время удалили.

Разработчик предполагает, что обнаружил «лазейку», которую социальная сеть использует, чтобы открывать доступ к переписке пользователей правоохранительным органам и спецслужбам. Кстати, недавно блокировку с «ВКонтакте» сняли китайские интернет-цензоры. Как правило, это означает, что администрация ранее блокировавшегося сервиса предоставила спецслужбам страны инструменты для контроля переписки пользователей и/или блокировки «нежелательной» информации.