Janne Yli-Korhonen
21. toukokuuta, 2021 17:50
Tietoturvayhtiön Check Point Software Technologiesin tutkimustoiminnasta vastaava Check Point Research on jälleen löytänyt käyttäjän tietoturvaa vaarantavia sovelluksia Androidin virallisesta sovelluskaupasta.
CPR tutki 23 Google Play -kaupan Android-sovellusta ja havaitsi, että mobiilisovellusten kehittäjät ovat mahdollisesti vaarantaneet yli 100 miljoonan käyttäjän henkilötiedot. Tietoihin sisältyvät muun muassa sähköpostit, viestit, salasanat ja kuvat. Hakkerin käsissä näillä tiedoilla voi päätyä esimerkiksi henkilöllisyysvarkauden uhriksi.
Tutkijoiden mukaan lukuisat sovelluskehittäjät käyttävät väärin kolmansien osapuolten pilvipalveluja, kuten reaaliaikaisia tietokantoja, ilmoitusten hallintaohjelmia ja pilvitallennustilaa.
Esimerkiksi jatkuvasti muuttuvilla tiedoilla toimivista reaaliaikaista tietokannoista, joilla sovelluskehittäjät syöttävät tietoja pilvipalveluihin, paljastui 13 arkaluonteisia tietoja sisältävää sovellusta. Näitä sovelluksia on ladattu Google Playssa 1000 kerrasta 10 miljoonaan kertaa.
Näitä tietokantoja ei oltu määritelty oikein perusominaisuuksilla, joten tietoihin pääsy oli helppoa. Mikään ei estänyt luvattoman pääsyn tapahtumista.
Tällainen virhe löytyi esimerkiksi yli 10 miljoonan latauskerran omaavasta Astro Guru -sovelluksesta. Tämä sovellus paljasti muun muassa nimen, sijainnin ja sähköpostiosoitteen.
50 000 latauksen taksisovellus T'Leva puolestaan paljasti viestit kuljettajan ja matkustajan välillä sekä myös puhelinnumeron, koko nimen ja sijainnin.
Check Point ilmoitti kaikille kehittäjille ja Googlelle löydöistä ennen blogikirjoituksen jakamista. Julkaisuhetkellä kuitenkin vain muutama kehittäjä oli korjannut sovelluksensa määritykset oikeiksi.
Aiheeseen liittyvää: