TikTok又摊上事了。未修这次不是已知用版权纠纷，也不是漏洞青少年沉迷争议，而是被黑一个实打实的安全漏洞——而且是被黑客抢先用上的那种。就在几周前，客利安全研究团队披露，未修TikTok的已知用某些API端点存在未修复的认证缺陷，攻击者能借此绕过权限校验，漏洞直接读取用户私信、被黑修改账号设置，客利甚至操纵视频推荐算法。未修更糟的已知用是，TikTok官方在收到报告后并未及时打补丁，漏洞漏洞窗口期长达数周，被黑期间已有攻击者利用它发起定向钓鱼活动。客利
具体怎么玩的？黑客构造了一个伪造的OAuth请求，把目标用户的session token替换成自己控制的临时凭证。一旦成功，他们就能以受害者身份登录，而TikTok的服务端居然没有校验token绑定的设备指纹。有个安全研究员私下跟我吐槽，说这个漏洞的利用难度低得离谱，几乎就是照着API文档写脚本的事——但凡有个初级开发经验的都能复现。他们实测发现，受影响的不只是普通用户，连一些百万粉的创作者账号也中招了，攻击者能偷偷改动他们发布的视频描述，挂上恶意链接。
这事最让人恼火的地方在于，TikTok的反应速度慢得不像一家科技巨头。漏洞是2月初被报告的，按行业标准，严重级别的安全问题应该在72小时内出热修复，最多一周内推全量补丁。可他们拖了将近一个月，期间只回复了一句“已收到，正在评估”。等黑客真的开始利用时，官方才紧急发了个含糊其辞的安全公告，连具体影响范围都没说清楚。我翻了翻他们的漏洞赏金页面，发现类似问题其实早有前科——去年就有人报过相近的API逻辑漏洞，当时也是修修停停，最后不了了之。
这种“修一半”的作风，跟平台规模完全不匹配。TikTok日活用户超过十亿，每天产生的私信和互动数据量惊人。一个能读私信的漏洞，等于把用户的社交关系网整个掀开给攻击者看。更讽刺的是，他们一边在欧美搞“白手套”数据中心，强调数据安全合规，一边连最基本的代码审计都没做到位。你说技术栈复杂、业务迭代快，我能理解；但核心认证链路出问题还拖延修复，这已经不是能力问题，是态度问题。
现在的情况是，漏洞虽然被公开，但利用痕迹可能早已渗透进大量账户。普通用户能做的其实很有限——改密码、开双重验证、检查登录设备列表，这些老生常谈的步骤依然有效，但挡不住攻击者已经拿到的历史数据。我建议那些觉得账号异常的用户，直接删掉可疑私信和陌生链接，别好奇点开。至于TikTok，他们欠所有用户一个解释：为什么明知漏洞存在，却让黑客抢了先手？这比漏洞本身更值得追问。