Tuhannet Android-, iOS-sovellukset paljastavat käyttäjätietoja pilvivirheiden vuoksi: Zimperium

Tuhannet Android-, iOS-sovellukset paljastavat käyttäjätietoja pilvivirheiden vuoksi: Zimperium

Tuhannet Android- ja iOS-sovellukset paljastivat käyttäjätietoja yleisesti havaittujen pilvivirheiden vuoksi mobiiliverkkoyrityksen mukaan. Aiheet voivat antaa haitallisten hyökkääjien hyödyntää vuotanutta tietoa. Tutkijat löysivät väärän kokoonpanon ongelmia sovelluksissa, jotka käyttävät suosittuja julkisia pilvipalveluja, kuten Amazon Web Services, Google Cloud ja Microsoft Azure. Muiden sovellusten joukossa havaittiin Fortune 500 -yhtiön kehittämä mobiililompakko, joka paljastaa käyttäjien istunto- ja maksutiedot, jotka voivat johtaa petoksiin.

Zimperiumin tutkijat tekivät automatisoidun analyysin yli 1,3 miljoonasta Android- ja iOS-sovelluksesta, joissa he havaitsivat virheellisiä määritysongelmia 14 prosentissa testituloksesta. Blogiviestissä yritys totesi havaitsevansa sovelluksia, jotka vuotavat koko pilvi-infrastruktuurin komentosarjat ja määritelmät, mukaan lukien SSH-avaimet.

“Muita kokoonpanotyyppejä ovat Web-palvelimen määritystiedostot, asennustiedostot ja jopa salasanat maksukioskeille”, yritys kertoi viestissä.

Sovellusten havaittiin paljastavan henkilökohtaisia ​​tunnistetietoja, mukaan lukien profiilikuvat, henkilökohtaiset tiedot ja lääketieteelliset testitiedot. Jotkut sovellukset mahdollistivat jopa petokset tai paljastetut immateriaalioikeudet (IP) ja sisäiset järjestelmät.

Henkilötietoja paljastavat sovellukset sisälsivät joitain lääketieteellisiä ja sosiaalisen median sovelluksia sekä suuren pelisovelluksen ja kuntosovelluksen. Suuret kaupunkiliikenne, verkkokauppias ja uhkapelisovellukset huomattiin myös petosten mahdollistaviksi. Lisäksi suurten musiikki-, uutispalvelu-, mobiilimaksulompakko-, lentokenttä-, laitteistokehittäjä- ja Aasian hallitusten matkasovellusten havaittiin paljastavan IP- ja järjestelmätiedot. Zimperium ei kuitenkaan paljastanut tietoja paljastavien sovellusten tarkkaa nimeä.

“Tarkastuksemme aikana tapasimme useita sovelluksia, jotka tukeutuivat sekä Google- että Amazon-tallennustilaan, johon oli pääsy ilman mitään suojausta. Yhdessä esimerkissä tiedot, jotka saimme, sisälsivät profiilikuvia ja muuta henkilötietojen tietoa ”, Zimperium sanoi.

Tutkijat havaitsivat myös, että joissakin tapauksissa väärät määritykset antoivat hakkereille mahdollisuuden jopa muuttaa tai korvata tietoja, mikä saattaisi aiheuttaa lisää häiriöitä loppukäyttäjille.

Wired kertoi, että yhteensä 11 877 Android-sovellusta ja 6 608 iOS-sovellusta paljasti käyttäjien arkaluontoisia tietoja yleisten pilvivirheiden määritysten avulla.

Tutkijat ottivat yhteyttä joihinkin sovelluskehittäjiin altistumisesta, vaikka monilla sovelluksilla todettiin edelleen olevan altistettuja tietoja. Myös useimpien sovelluskehittäjien vastaus oli vähäinen.

Pilvipalvelujen tarjoajat, kuten Amazon, Google ja Microsoft, tarjoavat tapoja suojata tietoja altistumiselta. Kehittäjien ja sovelluksia tarjoavien yritysten viimeinen vastuu on kuitenkin käyttää sopivia kokoonpanoja käyttäjiensä turvallisuuden varmistamiseksi.

“Kun olet sulkenut pilvipalvelun luvattomalta ulkoiselta pääsyltä, seuraava asia, jonka voit tehdä, on käyttää palvelua, joka arvioi suojatun ohjelmistokehityksen elinkaaren osana tavanomaista kehitysprosessiasi”, Zimperium sanoi.

Tärkeää on, että Zimperium on yksi kolmesta mobiiliturvayrityksestä, jotka ovat osa Googlen App Defense Alliance -aloitetta, jonka tarkoituksena on tarjota automaattista sovellusten skannausta Google Playlle.

Wired kertoi, että Zimperium-tutkijat käyttivät samoja työkaluja, joita se käyttää App Defense Alliance -ohjelmassa pilviasetusten väärinkokoonpanojen tutkimiseksi. Yritys käyttää kuitenkin vahingollisia altistuksia etsimällä mahdollisia haitallisia toimintoja Google Playn työkaluilla.


Tarkoittaako WhatsAppin uusi tietosuojakäytäntö yksityisyytesi loppua? Keskustelimme tästä Orbitalissa, viikoittaisessa tekniikan podcastissamme, jonka voit tilata Apple Podcastsin, Google Podcastin tai RSS: n kautta, ladata jakson tai vain napsauttaa alla olevaa toistopainiketta.

Leave a Reply

Your email address will not be published. Required fields are marked *