在分析了 23 个 Android 应用后,Check Point Research (CPR) 团队发现,移动应用开发人员可能通过各种配置错误的第三方云服务泄露了超过 1 亿用户的个人数据。这些个人数据包括电子邮件、聊天消息、位置、密码和照片,攻击者可能会利用这些数据进行欺诈、身份盗用和服务刷卡。
现代云解决方案已成为移动应用开发领域的新标准。开发人员只需点击一下即可将云存储、实时数据库、通知管理和分析等服务集成到应用中。然而,开发人员经常会忽略这些服务的配置及内容所存在的安全问题。
CPR 最近发现,在过去的几个月中,许多应用开发人员在为应用配置和集成第三方云服务时没有遵循最佳安全实践,导致他们的数据和数百万用户的私人信息遭到泄露。配置错误为用户的个人数据和开发人员的内部资源(如访问更新机制、存储等)带来了风险。
错误配置实时数据库
实时数据库支持应用开发人员将数据存储在云端,从而实现数据与每个联网客户端的实时同步。该服务不仅解决了应用开发中的一个常见问题,而且还可确保数据库适用于所有客户端平台。但是,如果应用开发人员没有为实时数据库配置身份验证等简单的基本特性,将会发生什么呢?
这种实时数据库配置错误问题由来已久,并且仍然非常普遍,受此问题影响的用户多达数百万。为此,CPR 研究人员尝试访问了数据,结果发现,实时数据库没有采取任何措施来阻止该未经授权的访问。
在调查开源数据库的内容时,Check Point安全顾问从中获得了很多敏感信息,包括电子邮件地址、密码、私人聊天、设备位置、用户标识符等。如果攻击者获得了该数据,可能会进行服务刷卡(即尝试在其他服务上使用相同的用户名和密码组合)、欺诈和/或身份盗用。
图 1 — Google Play 上采用开源实时数据库的部分应用
图 2 — Logo Maker上用户的电子邮件、密码、用户名和 ID
CPR 研究人员发现,下载量超过 1,000 万的热门星座、星象和手相应用 Astro Guru 也出现了这种配置错误。用户输入个人信息(例如姓名、出生日期、性别、位置、电子邮件和付款明细)后,Astro Guru 将为他们生成一份个人星座和星象预测报告。这种星象预测竟然暴露了敏感数据,简直令人咋舌!
抛却个人信息不说,泄露实时数据更令人无语,这可是实时数据库原本存在的意义啊!在下载量超过 5 万的出租车应用 T'Leva 上,CPR 研究人员成功访问了司机与乘客之间的聊天消息,并检索到了用户的姓名、电话号码和位置(目的地和上车地点),所有信息只需通过向数据库发送一个请求即可获得。
推送通知
推送通知管理器是移动应用行业使用最广泛的服务之一。推送通知通常用于标记新的可用内容、显示聊天消息、电子邮件等。大多数推送通知服务都需要一个密钥(有时不止一个)来识别请求发送者的身份。如果这些密钥只是简单地嵌入到应用文件中,黑客很容易就会抢走控制,并冒充开发人员向所有用户发送可能包含恶意链接或内容的通知。
试想一下,如果一个新闻媒体应用向用户推送了虚假新闻通知,进而将用户重定向到网络钓鱼页面,后果将不堪设想。由于该通知来自官方应用,用户自然会认为这是官方发出的合法消息,而非黑客发起的恶意攻击。
云存储
在过去的几年中,移动应用云存储得到飞速发展,允许访问开发人员或安装应用共享的文件。以下两个示例是 CPR 研究人员在 Google Play 上发现的应用:
在本文章发布之前,CPR 已联系 Google 和所有应用开发人员,报告了我们的研究发现。其中一些应用的配置已经更改。
如何做好自我防护
黑客攻击移动设备的手段五花八门,比如使用恶意应用、发起网络层攻击以及利用设备和移动操作系统漏洞等。随着移动设备的重要性与日俱增,越来越多的网络犯罪分子盯上了这块肥肉。最终,针对这些设备的网络威胁变得更加多样化。一款有效的移动威胁防御解决方案应该既能检测和响应各种不同的攻击,又能提供积极的用户体验。
Check Point Harmony Mobile 是市场领先的移动威胁防御 (MTD) 和移动应用信誉服务 (MARS) 解决方案,能够提供一系列广泛的功能,确保移动设备及其数据的安全。
好文章,需要你的鼓励
FDA局长 Martin Makary 表示,FDA已完成利用生成式 AI 加速药品审核的试点,并计划于六月底前全局推广,尽管成果显著,但安全性问题仍引发关注。
OpenAI 正启动 “OpenAI for Countries” 项目,将与各国政府合作建设 AI 数据中心,并根据当地语言和需求定制产品。该项目资金由 OpenAI 与政府共同出资,是其商业外交战略的重要组成部分,旨在应对与中国的技术竞争,并借鉴美国 Stargate 项目的经验,助力民主国家经济与国家发展。
西门子Mobility的CIO Dilek Bocuk通过引入生成式人工智能和多种培训活动,推动IT与业务深度融合,助力企业数字化转型。