La aplicación de Android expuso los datos de millones de usuarios a través de un error de autenticación en la nube

Los investigadores que analizaron las aplicaciones de Android encontraron que los errores graves de configuración de la nube han provocado posibles fugas de datos a más de 100 millones de usuarios.

En el informe Publicado el jueves La empresa de seguridad de redes Check Point Research dijo que no menos de 23 aplicaciones móviles populares contienen varias “configuraciones incorrectas de servicios en la nube de terceros”.

Hoy en día, los servicios y aplicaciones en línea utilizan ampliamente los servicios en la nube, lo que puede deberse al rápido cambio al trabajo remoto causado por la pandemia del coronavirus. Aunque es útil en la gestión, almacenamiento y procesamiento de datos, solo se requiere un acceso o supervisión autorizada para revelar o filtrar los registros guardados.

En particular, las aplicaciones a menudo se integran con bases de datos en tiempo real para almacenar y sincronizar datos en diferentes plataformas. Sin embargo, los desarrolladores de algunas de las aplicaciones examinadas no pueden estar seguros de que se haya establecido el mecanismo de autenticación.

Según la investigación de CPR, se examinaron 23 aplicaciones de Android, incluidas aplicaciones de taxi, creadores de logotipos, grabadoras de pantalla, servicios de fax y software de astrología, datos filtrados, incluidos registros de correo electrónico, mensajes de chat, información de ubicación e ID de usuario., Contraseña e imagen.

En 13 casos, los datos confidenciales estaban disponibles públicamente en entornos de nube inseguros. Cada una de estas aplicaciones tiene entre 10.000 y 10 millones de descargas.

Por ejemplo, al investigar una aplicación de servicio de taxi, el equipo pudo enviar una solicitud simple a la base de datos de la aplicación y extraer el mensaje, el nombre, el número de teléfono y el lugar de recogida enviados entre el conductor y el cliente.

READ WWDC 2020: ¿Cuál es la mejor característica de iOS 14?

Los servicios en la nube que brindan administración de datos de back-end para grabadores de pantalla y aplicaciones de fax tampoco están lo suficientemente protegidos. CPR puede recuperar la clave analizando los archivos de la aplicación para otorgar acceso a grabaciones almacenadas y documentos de fax.

También se encontraron teclas de notificación push en la aplicación, que se pueden abusar fácilmente. Si se utiliza el servicio push, se puede utilizar para enviar alertas maliciosas a los usuarios de la aplicación.

Los investigadores dijeron que estas fallas de seguridad fueron causadas por los desarrolladores que no siguieron las “mejores prácticas al configurar e integrar servicios en la nube de terceros en sus aplicaciones”.

“Esta mala configuración de la base de datos en tiempo real no es un problema nuevo, pero [..] CPR dijo: “El alcance del problema aún es demasiado amplio y afecta a millones de usuarios. Si los actores malintencionados obtienen acceso a estos datos, puede conducir a análisis de servicios (tratando de usar la misma combinación de nombre de usuario y contraseña en otros usuarios)). ), fraude y robo de identidad “.

CPR notificará a los desarrolladores de aplicaciones sobre configuraciones incorrectas antes de revelar información, y algunos de ellos han reforzado el control.

A principios de este mes, los investigadores Publicado una consulta Vulnerabilidades en los servicios de datos de Qualcomm MSM y, en teoría, descubrió una vulnerabilidad que puede usarse para manipular e inyectar código malicioso en los módems de los teléfonos Android.