Falhas no TikTok permitiam redirecionamento malicioso e ações em contas de usuários

Conjunto de vulnerabilidades combinava SMS falsificado, deep links, redirecionamento fraco, XSS e ausência de proteção contra CSRF para executar ações em nome da vítima.

Componente	Aplicativo TikTok, site principal, fluxo de login, subdomínio de anúncios e APIs de ações sobre vídeos e seguidores.
Vetor	Manipulação de parâmetros em SMS de download, deep links do aplicativo, validação inadequada de redirect_url, XSS no parâmetro q e requisições sem proteção anti-CSRF.
Impacto	Redirecionamento para site controlado por atacante, execução de JavaScript no navegador da vítima e ações autenticadas como apagar vídeos, criar publicações, aprovar seguidores e alterar privacidade de vídeo.
Prioridade	Confirmar atualização dos clientes e serviços, revisar validação de redirecionamento no servidor, aplicar proteção anti-CSRF e monitorar alterações anômalas em vídeos, seguidores e privacidade.
Artefatos	Parâmetros download_url, redirect_url, q, aweme_id, from_user_id; esquemas de deep link musically:// e m[.]tiktok[.]com; subdomínio ads[.]tiktok[.]com.
Mitigação	Correção foi implantada de forma responsável pelos desenvolvedores do TikTok; organizações devem exigir versões atualizadas e tratar clientes antigos como superfície residual.

Resumo técnico

A pesquisa descreveu uma cadeia de vulnerabilidades no ecossistema do TikTok que, quando explorada em sequência, permitia conduzir usuários para links controlados por terceiros, abrir conteúdo dentro do contexto do aplicativo e acionar requisições em nome da vítima. O problema não se limitava a uma única falha isolada: o cenário combinava abuso de uma função legítima de envio de SMS, deep links interpretados pelo aplicativo móvel, validação insuficiente de redirecionamento, XSS em uma área de ajuda do domínio de anúncios e falta de mecanismos anti-CSRF em ações sensíveis. Essa combinação ampliava o impacto porque um ponto fraco de entrada podia levar a execução de JavaScript e, em seguida, a operações autenticadas contra recursos da conta.

O caso é relevante tecnicamente porque mostra como funcionalidades de conveniência, como envio de link por SMS e abertura automática de rotas internas do aplicativo, podem se tornar vetores quando a validação de destino e a autorização de ações não são consistentes em todos os componentes. A aplicação era descrita como amplamente usada por adolescentes e crianças para criar, salvar, compartilhar e manter vídeos privados, o que tornava especialmente sensível qualquer alteração não autorizada em privacidade de publicações, seguidores ou conteúdo exibido no perfil. A correção foi disponibilizada após comunicação responsável, mas a análise continua útil para equipes que avaliam aplicativos móveis, webviews e APIs expostas a fluxos autenticados.

Fluxo técnico

O primeiro ponto da cadeia estava na funcionalidade do site principal que permitia ao usuário enviar para si mesmo um SMS com link de download do aplicativo. A requisição HTTP continha um parâmetro associado ao número de telefone e outro chamado download_url, usado para definir o link incluído na mensagem. Ao alterar esse valor, um operador externo podia fazer com que a mensagem enviada em nome do TikTok carregasse um destino escolhido por ele. Do ponto de vista defensivo, o problema não era o envio de SMS em si, mas a confiança excessiva em um parâmetro controlável para compor uma comunicação que o destinatário tenderia a considerar legítima por parecer originada do serviço.

A segunda etapa envolvia o comportamento do aplicativo Android diante de deep links. A aplicação escutava rotas associadas a m[.]tiktok[.]com e ao esquema customizado musically://, permitindo que links abertos no navegador invocassem intents dentro do aplicativo. O fluxo observado podia abrir uma webview apontando para um servidor controlado pelo atacante. A partir dessa posição, o operador passava a ter uma oportunidade de acionar requisições no contexto do usuário, especialmente quando a navegação, a sessão e as permissões do aplicativo criavam uma ponte entre conteúdo web e ações de conta.

Outro componente vulnerável era o fluxo de login, que aceitava um parâmetro redirect_url. A validação descrita ocorria de forma fraca porque verificava o final do valor contra um padrão relacionado a tiktok[.]com, sem impedir domínios que apenas terminassem com a mesma cadeia de caracteres. Assim, um domínio visualmente parecido ou construído para satisfazer a expressão podia receber o usuário depois da autenticação. Esse tipo de falha é perigoso porque preserva parte da aparência de legitimidade do fluxo inicial, mas transfere o navegador para uma origem que não deveria ser confiável. Em cenários reais, o impacto poderia incluir coleta de sinais de sessão expostos ao ambiente web, indução a novas interações e preparação para ataques de XSS ou CSRF.

Superfície afetada

A superfície abrangia tanto componentes web quanto móveis. No lado web, a área de ajuda do subdomínio ads[.]tiktok[.]com possuía uma busca que recebia o parâmetro q. O valor pesquisado era refletido de forma que permitia injeção de JavaScript, caracterizando XSS. A ausência de proteção anti-CSRF agravava o cenário, pois o JavaScript executado no navegador da vítima podia acionar chamadas de API com efeitos sobre a conta. A análise descreveu ações como apagar um vídeo por meio de uma requisição GET com aweme_id, criar uma publicação a partir de uma requisição previamente estruturada, aprovar uma solicitação de seguidor usando from_user_id e alterar a visibilidade de um vídeo ao modificar parâmetros de privacidade.

A superfície de impacto dependia de a vítima interagir com o link e de o fluxo ocorrer em um contexto em que o usuário estivesse autenticado ou em que o aplicativo pudesse encaminhar requisições com a sessão válida. O resultado não era uma exploração genérica de servidor, mas abuso de lógica de aplicação e sessão para produzir efeitos de conta. O risco mais sensível descrito era a mudança de vídeos privados para públicos, pois o atacante precisava obter o identificador do vídeo e, uma vez em posição de seguidor aprovado, poderia usar essa informação para acionar a alteração de visibilidade. Esse detalhe mostra que a exploração não era simplesmente um clique único para qualquer ação arbitrária; ela dependia de pré-condições e encadeamento de permissões.

Como a correção foi implantada pelos responsáveis pelo aplicativo, o foco operacional deve ser validar se clientes, domínios e APIs em uso já refletem os controles corrigidos. Ambientes corporativos que permitiam o aplicativo em dispositivos gerenciados deveriam tratar versões antigas como risco de exposição residual, principalmente em telefones de usuários com permissões ampliadas, contas institucionais ou dados pessoais sensíveis no mesmo dispositivo.

• Site principal com função de envio de SMS e parâmetro download_url controlável no fluxo analisado.
• Aplicativo Android com deep links associados a m[.]tiktok[.]com e musically:// capazes de abrir conteúdo em webview.
• Fluxo de login com validação inadequada de redirect_url e possibilidade de redirecionar para domínio externo construído para passar na verificação.
• Subdomínio ads[.]tiktok[.]com com XSS na busca do centro de ajuda por meio do parâmetro q.
• APIs de vídeos e seguidores expostas a ações autenticadas quando acionadas sem proteção anti-CSRF suficiente.

Hunting e telemetria

A telemetria defensiva deve separar sinais de entrega, navegação e alteração de estado. Em logs de aplicação ou gateway, o primeiro indício estaria em requisições ao serviço de SMS com download_url apontando para destinos fora do padrão esperado. Mesmo quando o link não é explicitamente malicioso, a presença de domínios com nomes parecidos, cadeias que terminam em tiktok[.]com sem pertencerem ao domínio legítimo, ou URLs encurtadas em um parâmetro destinado a download, deve ser tratada como sinal de abuso do fluxo. Em dispositivos móveis, a abertura de deep links seguida de carregamento de webview para endereços não reconhecidos é um padrão de alto valor para investigação.

Na camada web, buscas no subdomínio de ajuda contendo caracteres de escape, fragmentos de marcação, sequências codificadas e tentativa de inserir script no parâmetro q são sinais de exploração ou varredura. Como o impacto descrito dependia de JavaScript executado e de requisições subsequentes, a investigação deve correlacionar eventos de busca anômalos com chamadas para endpoints de alteração de conteúdo, especialmente deleção de vídeo, criação de vídeo, aprovação de seguidor e mudança de visibilidade. A ordem temporal é importante: uma visita a link de login ou ajuda, seguida por alterações incomuns de privacidade ou relacionamento social, fortalece a hipótese de abuso da cadeia.

Em ambientes com MDM, EDR móvel ou proxy corporativo, a resposta deve procurar versões antigas do aplicativo, tráfego para domínios externos abertos imediatamente após links de TikTok e alterações de configuração em contas usadas em dispositivos gerenciados. Quando logs de conta estiverem disponíveis ao usuário ou à organização, sinais como vídeos apagados sem ação consciente, seguidores aprovados inesperadamente e vídeos privados tornados públicos devem ser tratados como eventos de segurança, não apenas como erro de uso.

• Requisições de SMS com download_url divergente do destino oficial de instalação do aplicativo.
• Abertura de deep links seguida de webview para domínio externo ou endereço controlado por terceiro.
• Valores anômalos em redirect_url, principalmente domínios que imitam ou terminam com cadeia semelhante a tiktok[.]com.
• Tentativas de XSS no parâmetro q da busca do centro de ajuda, inclusive conteúdo codificado em URL.
• Sequência de eventos com alteração de aweme_id, aprovação de from_user_id ou mudança de tipo de visibilidade sem ação legítima do usuário.

Mitigação

A mitigação principal já indicada no caso foi a implantação de correção pelos desenvolvedores do TikTok. Para operadores de segurança, a ação prática é garantir que dispositivos usem versões atualizadas e que políticas de MDM bloqueiem clientes antigos quando o aplicativo estiver autorizado. Em organizações que optam por permitir aplicativos sociais em dispositivos corporativos, a avaliação deve incluir não apenas permissões do aplicativo, mas também tratamento de deep links, abertura de webviews, isolamento de navegador e proteção contra redirecionamentos. Controles de navegação que alertem para domínios parecidos ajudam a reduzir o sucesso do primeiro clique, embora não substituam correção no lado do serviço.

No desenvolvimento de aplicações, as lições são diretas. Parâmetros como download_url não devem aceitar destinos arbitrários quando usados para compor mensagens enviadas por um domínio confiável. Redirecionamentos pós-login precisam ser validados no servidor por lista positiva de origens permitidas, com comparação estrutural de domínio, esquema e caminho, em vez de expressão fraca sobre o final de uma string. Campos refletidos em páginas de busca devem aplicar codificação contextual e sanitização adequada para impedir XSS. Ações com efeito de estado, como apagar conteúdo, criar publicação, aprovar seguidores ou mudar privacidade, devem exigir método apropriado, token anti-CSRF, autorização explícita e validação de origem.

Para resposta a incidente, a prioridade é preservar evidências de navegação, notificações SMS, histórico de alteração de vídeos e eventos de conta. Quando houver suspeita de exploração, a equipe deve revogar sessões ativas, revisar dispositivos conectados, checar vídeos alterados, validar seguidores aprovados recentemente e restaurar configurações de privacidade. Como a cadeia dependia de múltiplas pré-condições, a investigação deve evitar conclusões automáticas: um link recebido por SMS, por si só, não confirma alteração de conta; a confirmação exige correlação com execução em webview, XSS ou chamadas de API compatíveis com as ações descritas.

• Exigir aplicativo atualizado e remover versões antigas de dispositivos gerenciados.
• Validar redirecionamentos no servidor por lista positiva de domínios e caminhos permitidos.
• Aplicar codificação contextual e sanitização em parâmetros refletidos, incluindo q em buscas.
• Proteger ações sensíveis com tokens anti-CSRF, autorização por objeto e métodos HTTP adequados.
• Auditar alterações recentes em vídeos, seguidores, sessões e privacidade quando houver suspeita de interação com link malicioso.