« Une fois que l'attaquant récupère le cookie, il est en mesure de créer des requêtes HTTP spéciales visant à récolter des informations et supprimer des photos » explique-t-il. Il est possible de changer l'adresse email liée au compte pour le compromettre totalement.
Testé sur un iPhone 4 doté d'iOS, l'exploit résulte d'une attaque de type « man in the middle », c'est à dire que l'attaquant doit intercepter les données entre le moment où l'utilisateur les envoie et celui où elles sont reçues par le serveur distant. Point important, le hacker doit se trouver sur le même réseau que la victime, ce qui réduit le champ d'action de l'intrusion, notamment aux réseaux WiFi non sécurisés.
Carlos Reventlov avait mis le doigt sur le problème le 10 novembre dernier, mais ne l'a publiquement dévoilé que le 30 novembre, car il avait tenté de prévenir Instagram avant. Au bout de 20 jours sans nouvelles du service, il a décidé de publier la faille, en précisant qu'elle n'avait pas été corrigée.
