Uma falha de segurança inesperada atingiu o Twitter nesta terça-feira, 21 de setembro. Trata-se da segunda grande falha do tipo XSS (cross-site scripting) somente neste mês, já que na primeira quinzena outra falha permitia que senhas dos usuários fossem roubadas através de um link malicioso.
No caso de hoje, ao utilizar o site via web, os usuários viam sua timeline poluída com cores estranhas e letras gigantes. Segundo Federico Pacheco, gerente de Educação e Pesquisa da ESET (empresa européia responsável pelo antivírus NOD32), o possível ataque ocorreu devido a uma vulnerabilidade no encurtador de URLs do próprio Twitter, igualmente à falha do início do mês.
Dessa forma, ao passar o ponteiro do mouse por cima (mouseover) de um tweet infectado, é ativado um script que faz com que o link malicioso se “retwitte” a todos os contatos. Também podia acontecer de abrir uma janela pop-up direcionando o usuário a um site com conteúdo malicioso (malware).
“Cabe esclarecer que a natureza de difusão viral desta falha NÃO o transforma em um vírus, sendo que não deixa de ser um clássico erro de XSS, semelhante ao comportamento de um worm, já que depende da interação do usuário para sua propagação”, disse Federico Pacheco.
A equipe do Twitter diz já ter corrigido a falha, através do perfil oficial @Safety, e recomenda aos usuários afetados que troquem suas senhas. Em todo caso, as recomendações da ESET para incidentes como esse são: Evitar acessar o Twitter através do site oficial e de clientes vulneráveis, desativar javascript no navegador ou utilizar algum bloqueador de scripts, como o plugin NoScript para Firefox.