Hackere omdirigerede 2,2 mio. links hos link-forkorter

Et sikkerhedshul hos link-forkortningstjenesten Cligs førte til, at 2,2 millioner links pegede på et ondsindet websted.

Mandag blev link-forkortningstjenesten Cligs angrebet gennem et sikkerhedshul i webapplikationen. Det betød, at 2,2 millioner links alle blev omstillet til at pege på ét ondsindet websted.

Sikkerhedshullet fandtes i en funktion på Cligs, som gør det muligt at redigere i et forkortet link. Flere andre tjenester giver ikke mulighed for efterfølgende at redigere i et link, men hos Cligs er det altså muligt.

Og det kunne hackerne udnytte til at redigere næsten alle links i Cligs' database, så de pegede på det ondsindede websted.

Forkortede links er kommet i søgelyset, fordi de i stigende grad bliver brugt til distribution af spam og ondsindede programmer. Problemet er, at en bruger ikke umiddelbart kan se, hvilket websted et forkortet link peger på. Derfor kan de korte link virke mere troværdige, hvis sammenhængen virker troværdig.

Linkforkortere har eksisteret længe, men de er blevet mere populære i kølvandet på tjenester som Twitter og Facebook, hvor der ofte ikke er plads til at opgive en fuld URL.

John Bambenek fra SANS Internet Storm Center foreslår i en kommentar til episoden hos Cligs, at tjenesterne kan implementere eksempelvis sortlistning af kendte ondsindede domæner for at mindske risikoen.

Sidste år blev også den danske tjeneste kortlink.dk hacket, men det gik angiveligt kun ud over tjenestens forside uden at de millioner af korte links blev omdirigeret til ondsindede sider.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (9)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Rasmus Lund-Hansen

Jeg har altid været lidt ambivalent overfor de her link-forkortere. Jeg kan godt se ideen og hvorfor det er praktisk i forhold til ting som Twitter, men når man får sådan et link serveret, har man jo reelt ingen anelse om hvor det fører hen.

Jeg bryder mig ikke om "blinde" links.

  • 0
  • 0
Anonym

Det, at man ikke kan angive et korrekt link er vel en falliterklæring i sig selv[1], men korte links..?

Jeg spørger bare - hvorfor skulle jeg klikke på en 'kort link' service, blot for at tilkendegive hvad jeg er imteresseret i?

Jeg er ikke paranoid, spørger bare - hvad skal disse 'kortlink' services bruge mine oplysninger til?

[1] ingen nævnt, ingen glemt.

  • 0
  • 0
Hans-Michael Varbæk

Men til gengæld så er der altså nogen link tjenester hvor du kan skrive preview.domænet.tld/linkid'et.

Jeg kan ikke lige huske hvilken men på den som jeg engang i mellem bruger til hurtig deling af proof of concepts osv er det nu smart nok.

Men at misbruge korte links har været smart lige siden det kom frem! Men så kan man forholdsvist gardere sig med FireFox og NoScript og eventuelt andre addons.

  • 0
  • 0
Log ind eller Opret konto for at kommentere