Un app di messaggistica con 100M utenti ha avuto una violazione dei dati
Buongiorno cari lettori, oggi parleremo che i messaggi di più 10 milioni di persone sono online.
Secondo il Play Store, l'app Go SMS Pro è molto popolare tra gli utenti Android con oltre 100 milioni di utenti.
È un fatto comune quando si scopre che le app e i siti web presentano delle vulnerabilità che alla fine vengono corrette - la tipica storia del mondo della cybersecurity. Negli ultimi tempi, si è verificato un altro incidente del genere in cui è stata riscontrata una falla in un'applicazione di messaggistica per Android con oltre 100 milioni di installazioni denominata GO SMS Pro.
Il difetto si basa sulla parte più sensibile di qualsiasi app di messaggistica, in quanto espone i messaggi trasmessi tra gli utenti costituiti da testi, note vocali, foto e video.
Scoperto dal ricercatore Richard Tan di Trustwave Security, si ritiene che il difetto sia iniziato dalla versione 7.91 dell'applicazione rilasciata il 18 febbraio di quest'anno. Tuttavia, le versioni precedenti e successive potrebbero includerla anche se questo non è confermato.
Per cominciare, quando gli utenti di 2 Go SMS Pro si mandano un massaggio a vicenda, questo viene visualizzato come se si vedesse un messaggio Whatsapp proprio all'interno dell'applicazione. Ma cosa succede quando il destinatario non è un utente dell'app?
In questo caso, il messaggio del mittente verrebbe inviato come link alla sim del destinatario. Qui inizia il problema. A quel link può accedere in modo irresponsabile chiunque ne sia in possesso, e non solo chi utilizza la sim del destinatario.
Inoltre, se si condividono file multimediali tra 2 persone che sono utenti dell'app, anche in questo caso verrà generato un link. Spiegando ulteriormente il ricercatore ha dichiarato in un post del blog che:
Navigando su http://gs.3g.cn/D/dd1efd/w il destinatario potrà visualizzare il messaggio vocale. Tuttavia, incrementando il valore dell'URL, è possibile visualizzare o ascoltare altri messaggi multimediali condivisi tra altri utenti. Ad esempio, l'accesso a http://gs.3g.cn/D/e3a6b4/w mostrerebbe la foto di una patente di guida falsa [esempio di patente mostrato sotto].
In questo modo, gli aggressori potrebbero facilmente generare diversi URL per accedere ai dati di altri senza autorizzazione. Inoltre, una volta che questi dati sono accessibili, potrebbero essere utilizzati per ricattare le vittime e persino condurre ulteriori attacchi contro di loro con l'ausilio del social engineering.
Per concludere, attualmente il difetto non è stato colmato (tanto per la nostra tipica storia di cybersecurity), ma il ricercatore ha contattato il team di GO SMS Pro.
Se sei un utente GO SMS Pro, può essere saggio smettere di usare l'app fino ad allora e questo vale anche per iOS e anche questo potrebbe essere stato compromesso, anche se non ne siamo sicuri. In futuro, continueremo ad aggiornarvi su come procede il processo di patch.
spero che questo articolo vi sia piaciuto noi ci vediamo ad un prossimo articolo.
