Miliony aplikací ohrožují bezpečnost uživatelských dat kvůli škodlivému kódu třetích stran

Při analýze několika oblíbených aplikací pro seznamování online zjistili odborníci Kaspersky Lab, že některé z nich přenášejí data v nešifrované podobě prostřednictvím nezabezpečených http protokolů. Provozovatelé aplikací tak riskují, že se citlivá data uživatelů dostanou do rukou kyberzločinců. Hlavní příčinou přitom je, že některé aplikace využívají reklamní nástroje SDKs třetí strany, které jsou součástí jedné z nejrozšířenějších reklamních sítí. Část aplikací, které vystavují uživatelská data zvýšenému nebezpečí, byly staženy miliardami uživatelů.

Zkratka SDK (software development kit) označuje sadu vývojářských nástrojů, které umožňují tvůrcům softwaru zaměřit se na nejdůležitější části aplikací, přičemž zbylé procesy zajistí právě SDK programy. Ty bývají často dostupné zdarma, a proto jsou velmi oblíbené. Vývojáři tak jejich prostřednictvím často využívají určité části kódů třetích stran. Díky tomu šetří čas, protože pro danou funkcionalitu použijí již existující části aplikací. Reklamní SDK nástroje například shromažďují uživatelská data, na jejichž základě následně uživatelům zobrazují reklamu uzpůsobenou jejich potřebám a aktivitám. Tím pomáhají softwarovým developerům monetizovat jejich produkty. Nástroje posílají uživatelská data na domény oblíbených reklamních sítí, aby mohly vzniknout ještě lépe zacílené reklamy.

Detailnější analýza aplikací ale ukázala, že jsou tato data posílána v nešifrované podobě a prostřednictvím http protokolů. Data jsou tak po cestě na příslušné servery nechráněna. Kvůli chybějícímu šifrování přitom může data kdokoliv zachytit. Stačí, aby útočník využil nechráněnou Wi-Fi, na kterou se uživatel připojí, nebo získal data prostřednictvím útoku na poskytovatele internetového připojení či domácí router uživatele. Získané údaje může útočník jednoduše upravit tak, aby se následně uživatelovi v aplikaci zobrazovaly škodlivé reklamy. Ty ho nalákají ke stažení další aplikace, která skrývá malware a ohrozí nejen jeho data, ale například i finance.

Odborníci z Kaspersky Lab zkoumali protokoly a síťový provoz aplikací v interním Android Sandboxu. Zjistili díky tomu, které aplikace přenášejí nešifrovaná data prostřednictvím http. Identifikovali řadu známých domén, z nichž je většina součástí oblíbené reklamní sítě. Až několik milionů aplikací používá výše popsané nástroje SDKs. Každá z nich přitom přenáší data v nešifrované podobě, která spadají minimálně do jedné z následujících kategorií:

  • Osobní údaje – nejčastěji jméno, věk a pohlaví. Mnohdy jsou zahrnuty i údaje jako uživatelův plat, telefonní číslo a e-mailová adresa. (Z jiného průzkumu Kaspersky Lab totiž vyplývá, že lidi tato data v seznamovacích aplikacích sdílejí velmi často.)
  • Informace o zařízení jako jsou: výrobce, model, rozlišení obrazovky, verze systému a název aplikace.
  • Poloha zařízení.

Odborníci Kaspersky Lab doporučují uživatelům pro lepší ochranu svých dat následující kroky:

  • Zkontrolujte oprávnění aplikace. Nepovolujte aplikaci přístup k něčemu, co nedává smysl. Většina aplikací například nepotřebuje přístup k vaší poloze, proto ho neudělujte.
  • Používejte VPN (virtuální privátní síť). Ta zašifruje veškerý síťový provoz mezi vaším zařízením a servery. I když data nebudou šifrována mimo servery VPN, sníží se celkově riziko jejich úniku.

Více informací se dozvíte na blogu Securelist.com.

O společnosti Kaspersky Lab

Kaspersky Lab je mezinárodní společností, která se zabývá kybernetickou bezpečností již více než 20 let. Své rozsáhlé odborné znalosti kybernetických hrozeb využívá Kaspersky Lab při vytváření bezpečnostních řešení a služeb nové generace zaměřených na ochranu podniků, kritické infrastruktury, vládních organizací a uživatelů po celém světě. Portfolio společnosti zahrnuje špičkové zabezpečení koncových bodů a specializovaná bezpečnostní řešení a služby sloužící k ochraně proti sofistikovaným a neustále se vyvíjejícím digitálním hrozbám. Technologie Kaspersky Lab chrání celosvětově více než 400 milionů uživatelů a 270 tisíc korporátních klientů. Více se dozvíte na www.kaspersky.cz.

 

Reklamy