23 app Android hanno rilevato la fuga di dati sensibili di 100 milioni di utenti
L'enorme perdita di dati si è verificata a causa di servizi cloud configurati in modo errato utilizzati dalle app Android con milioni di download.
I dati personali di oltre 100 milioni di utenti Android sono stati esposti a causa di servizi cloud configurati in modo errato. Il problema è stato identificato in circa 23 applicazioni, che vantavano fino a 10 milioni di download e includevano risorse interne per sviluppatori.
Il problema è stato identificato dai ricercatori di Check Point che hanno scritto nel loro blog che durante la configurazione / integrazione di servizi cloud di terze parti nelle app, è estremamente importante seguire le migliori pratiche.
"Non seguendo le best practice durante la configurazione e l'integrazione di servizi cloud di terze parti nelle applicazioni, sono stati esposti i dati privati di milioni di utenti", hanno osservato i ricercatori.
Milioni di utenti interessati
Questo tipo di uso improprio ha un impatto non solo sugli utenti ma anche sugli sviluppatori. Questo perché i dati personali degli utenti sono esposti e messi a rischio, e anche le risorse interne degli sviluppatori come l'accesso allo storage e il meccanismo di aggiornamento sono a rischio.
Come da post sul blog di Check Point , le app erano disponibili su Google Play Store. Alcuni dei nomi che hanno condiviso includono:
iFax
T'Leva
Astro Guru,
Logo Maker
Screen Recorder.
I ricercatori hanno notato che una password non proteggeva molti database utilizzati dagli sviluppatori di app per archiviare i dati su Cloud. Pertanto, chiunque potrebbe accedere alle informazioni personali sensibili di oltre 100 milioni di utenti, tra cui:
Nomi
Date di nascita
Posizione
Indirizzi email
Le password
Fotografie
Genere
Messaggi di chat,
dettagli di pagamento
Informazioni sui contatti
Informazioni push, ecc.
Dati di esempio:
Dati di 100 milioni di utenti Android esposti
Dati trapelati e app mirate
Perdita di dati dell'app: un problema ampiamente sottovalutato
L'enorme numero di applicazioni che presentano problemi di configurazione errata indica un problema radicato e diffuso e i criminali informatici possono facilmente sfruttare tali app per raggiungere i loro nefasti obiettivi.
Poiché gli sviluppatori di app utilizzano database in tempo reale per l'archiviazione dei dati nei servizi cloud e li sincronizzano con i client connessi in tempo reale, un piccolo errore può causare un'enorme esposizione dei dati.
I ricercatori di Check Point potrebbero ottenere i dati di coloro che utilizzano l'app per taxi T'Leva con sede in Angola. Accedevano facilmente ai messaggi scambiati tra passeggeri e autisti, insieme ai nomi completi dei motociclisti, ai luoghi di destinazione / ritiro e ai numeri di telefono. Tutto questo è stato possibile perché il database non era protetto adeguatamente.
Inoltre, gli sviluppatori di app hanno incorporato la chiave necessaria per inviare notifiche push e accedere ai servizi cloud direttamente dall'app. Ciò potrebbe consentire a criminali informatici / truffatori di inviare una falsa notifica agli utenti dal lato degli sviluppatori o di reindirizzare gli utenti a una pagina di phishing .
