Οι χρήστες των online dating υπηρεσιών για Android κινδυνεύουν να χάσουν ευαίσθητες προσωπικές πληροφορίες καθώς κυβερνοεγκληματίες εκμεταλλεύονται ευπάθειες των κινητών εφαρμογών.
Μια μελέτη σε 41 τέτοιες εφαρμογές διαπίστωσε ότι στο 63% των περιπτώσεων το προϊόν αποστέλλεται με ένα κενό ασφάλειας που μπορεί να αξιοποιηθεί με κάποιο τρόπο από έναν κακόβουλο χρήστη.
Η απειλή εκτείνεται και στο περιβάλλον των επιχειρήσεων, πέρα από το προσωπικό χώρο του χρήστη, καθώς πολλά άτομα συχνά εγαθιστούν τις εφαρμογές γνωριμιών σε φορητές συσκευές που έχουν πρόσβαση σε εμπιστευτικές εταιρικές πληροφορίες.
Η έρευνα, που διεξήχθη από την IBM, καθορίζει ότι τα κενά ασφαλείας που υπάρχουν στις δημοφιλείς εφαρμογές γνωριμιών για Android θα μπορούσαν να αξιοποιηθούν για την παρακολούθηση των κινήσεων του χρήστη, για την απόκτηση πρόσβασης στο μικρόφωνο ή την κάμερα της συσκευής, ή για την παραβίαση του dating προφίλ του χρήστη.
Ghost: Εξάρθρωση της πλατφόρμας κρυπτογραφημένων επικοινωνιών
«Η IBM διαπίστωσε ότι το 73% των 41 δημοφιλών εφαρμογών γνωριμιών που αναλύθηκαν έχουν πρόσβαση σε τρέχουσες και ιστορικές πληροφορίες θέσης GPS,” αναφέρει η έκθεση της εταιρείας που εκδόθηκε την Τετάρτη.
Τα στοιχεία αυτά γίνονται χρήσιμα εάν οι κυβερνοεγκληματίες αναζητούν πληροφορίες για τα ίχνη ενός στόχου μέσα σε ένα ορισμένο χρονικό διάστημα, καθώς οδηγούνται στην μάθηση για την εργασία ή τη διεύθυνση κατοικίας του χρήστη.
Έχοντας πρόσβαση στα components βίντεο και ήχου είναι επίσης χρήσιμα για στοχευμένες επιθέσεις, καθώς μπορούν να χρησιμοποιηθούν για να κατασκοπεύσουν το θύμα, προκειμένου να συγκεντρώσουν περισσότερες λεπτομέρειες. Η IBM λέει ότι αυτό το κατόρθωμα μπορεί να επιτευχθεί ακόμα και αν ο χρήστης δεν είναι συνδεδεμένος στην εφαρμογή γνωριμιών.
Ένας άλλος κίνδυνος που απορρέει από κενά ασφάλειας των εφαρμογών είναι αυτό που οδηγεί σε παραβίαση στο προφίλ χρήστη. Αυτό επιτρέπει σε τρίτους να μιμηθούν το θύμα και να επικοινωνήσουν με άλλους σε μια προσπάθεια να τους εξαπατήσουν ώστε να αποκαλύψουν δεδομένα προσωπικού χαρακτήρα, χρηματοοικονομικές πληροφορίες ή ακόμη και να τους πείσουν να στείλουν χρήματα στους απατεώνες.
Οι ερευνητές ασφαλείας από την IBM ανακάλυψαν ότι 26 από τις εφαρμογές που αναλύθηκαν είχαν κενά ασφάλειας μέσης ή υψηλής σοβαρότητας που επιτρέπουν cross-site scripting (XSS) ή phishing επιθέσεις μέσω της τεχνικής man-in-the-middle (MITM).
Τα Debug Flag-enabled exploits είναι επίσης στη λίστα. Εάν το flag είναι ενεργοποιημένο, ένα app που έχει ενεργοποιημένο τον εντοπισμό σφαλμάτων θα μπορούσε να «προσκολληθεί» σε ένα άλλο και έτσι να αποκτήσει πρόσβαση στα δεδομένα που γράφονται ή διαβάζονται στη μνήμη του. Αυτή θα αποτελούσε μια ισχυρή επίθεση, επειδή οι επιτιθέμενοι θα μπορούσαν να παραποιήσουν τις πληροφορίες και να το τροποποιήσουν ώστε να ταιριάζει στους σκοπούς τους.
Οι συστάσεις που απευθύνονται στους χρήστες για τη διατήρηση της ασφάλειας από μια παραβίαση περιλαμβάνουν τη δημοσίευση όσο το δυνατόν λιγότερων προσωπικών πληροφοριών σχετικά στο προφίλ τους, τον τακτικό έλεγχο των ρυθμίσεων ασφαλείας της συσκευής σε αναζήτηση ύποπτων τροποποιήσεων, τη χρήση μοναδικών κωδικών πρόσβασης, και την εγκατάσταση των πιο πρόσφατων ενημερώσεων λογισμικού.
