Revista si suplimente
MarketWatch
Inapoi Inainte

Technology >> Securitate >> Stiri si comunicate

IBM Security: peste 60% din cele mai populare aplicatii de dating sunt vulnerabile

17 Februarie 2015



O analiza realizata de departamentul IBM Security arata ca peste 60% din aplicatiile mobile de top ce ofera servicii de dating sunt vulnerabile la o varietate de atacuri cibernetice care pot pune in pericol datele personale si pe cele ale companiei.
Analistii din cadrul echipei IBM Application Security Research au utilizat noul instrument IBM AppScan Mobile Analyzer pentru a analiza cele 41 de aplicatii de dating de top disponibile pe dispozitive Android pentru a identifica vulnerabilitatile care pot lasa utilizatorii descoperiti impotriva potentialelor atacuri cibernetice si impotriva amenintarilor. Aceste aplicatii au fost analizate pentru a determina acele permisiuni acordate, dezvaluind un numar mare de privilegii excesive. Pentru a intelege adoptarea la nivel de organizatie a acestor 41 de aplicatii de dating, datele furnizate de aplicatie au fost analizate de catre IBM MobileFirst Protect (ex- MaaS360).
Studiul IBM dezvaluie ca cele mai multe dintre aplicatiile de dating analizate au acces la diferite functionalitati ale dispozitiveleor mobile cum ar fi camera, microfonul, spatiul de stocare, localizare prin GPS, informatii despre portofelul mobil, care in combinatie cu vulnerabilitatile specifice terminalelor mobile pot fi exploatate de catre hacker. De asemenea, studiul arata ca aproape jumatate din personalul organizatiilor analizate au cel putin unul din aceste aplicatii de dating instalate pe dispozitivele mobile cu care acceseaza si informatii ale companiei.
In prezent, aplicatiile de dating reprezinta o modalitate simpla si convenabila pentru persoanele singure de toate varstele de a se intalni. Mai degraba, studiul Pew Research a dezvaluit ca unul din 10 americani, adica aproape 31 de milioane de oameni au folosit un website sau o aplicatie de dating iar numarul de oameni care chiar s-au intalnit cu cineva pe care l-au cunoscut online a crescut cu 66%.
“Multi clienti utilizeaza si au incredere in telefoanele lor mobile cand vine vorba de o varietate de aplicatii. Increderea este cea care ofera hackerilor oportunitatea de a exploata vulnerabilitatile cum sunt cele descoperite de noi in acele aplicatii de dating,” declara Caleb Barlow, Vice President, IBM Security. “Utilizatorii trebuie sa fie atenti sa nu dezvaluie prea multe informatii personale in cautarea unei relatii pe aceste site-uri. In urma cercetarilor noastre am demonstrat ca unii utilizatori pot fi angrenati intr-un schimb de informatii periculos – odata cu cresterea informatiilor dezvaluite poate rezulta in diminuarea securitatii si intimitatii personale.”

Riscurile la care sunt expusi utilizatorii
Cercetatorii din cadrul departamentului IBM Security au identificat ca 26 din cele 41 de aplicatii de dating pe care le-au analizat pe platforma Android aveau vulnerabilitati de o severitate medie sau mare. Analiza a fost facuta pe baza aplicatiilor disponibile in magazinul de aplicatii Google Play in Octombrie 2014. Vulnerabilitatile descoperite de catre IBM Security permit unui potential hacker sa acumuleze informatii personale despre utilizator. In timp ce unele aplicatii au masurile de siguranta active, IBM a descoperit ca multe sunt vulnerabile la atacuri care ar putea duce la unul din urmatoarele scenarii:
- Aplicatia de dating folosita sa descarce alte aplicatii rau intentionate: Utilizatorii isi lasa garda jos cand anticipeaza ca vor primi atentie din partea unei potential candidat la o intalnire. Exact tipul acesta de moment este exploatat de catre hacker. Cateva dintre acele aplicatii vulnerabile pot fi reprogramate de catre un hacker pentru a trimite un semnal tip alerta in care le cere utilizatorilor sa apese pentru un update sau sa-si recupereze un mesaj, care de fapt in realitate, este doar un truc pentru a descarca alte aplicatii pe dispozitivul lor.
- Informatia prin GPS folosita pentru a tine evidenta locatiilor victimei: IBM a descoperit ca 73% din cele 41 de aplicatii de dating de top analizate au acces la informatii curente sau din trecut despre localizarea prin GPS. Hackerii pot acumula informatii curente sau din trecut despre localizarea sa prin GPS pentru a afla unde locuieste, lucreaza sau unde isi petrece cel mai mult timpul utilizatorul.
- Numerele cartilor de credit furate prin intermediul aplicatiilor: 48% din cele 41 de aplicatii de dating de top analizate au acces la informatiile de facturare salvate pe dispozitiv. Printr-un proces de coding modest, un hacker poate accesa informatiile de facturare salvate in portofelul de pe dispozitivul mobil printr-o vulnerabilitate a aplicatiilor de dating si sa fure informatiile pentru a face cumparaturi neautorizate.
- Controlul de la distanta al camerei foto sau al microfonului unui telefon: Toate vulnerabilitatile descoperite pot facilita acces unui hacker la camera foto sau la microfonul telefonului chiar daca utilizatorul nu este logat in aplicatie. Asta inseamna ca un hacker poate sa spioneze sau sa traga cu urechea asupra utilizatorilor sau chiar sa asiste la intalniri de business confidentiale
- Deturnarea profilului de dating: Un hacker poate sa schimbe continutul si imaginile din profilul tau de dating, sa impresioneze utilizatorul si sa comunice cu alti utilizatori de aplicatie, sau sa disperseze informatii personale in exterior pentru a afecta reputatia identitatii utilizatorului. De asemenea, aceasta constituie un adevarat risc pentru ceilalti utilizatori, fiindca un cont deturnat poate fi folosit de catre atacator cu scopul de a insela alti utilizatori sa impartaseasca informatii personale si in mod potential compromitatoare.
Cateva dintre vulnerabilitatile indentificate in aplicatiile da dating riscante includ cross site scripting via om de mijloc, flagul de depanare activ, un generator de numere modest si phising via om de mijloc. Cand aceste vulnerabilitati sunt exploatate un hacker poate folosi dispozitivul mobil pentru a initia atacuri.
De exemplu, hackerii pot intercepta cookies de la o aplicatie via conexiune Wi-Fi sau printr-un access point distructiv si dupa aceea accesarea diferitelor caracteristici cum ar fi camera foto, GPS si microfon la care aplicatia are permis accesul. Pot de asemenea sa creeze un display de logare fals via aplicatia de dating pentru a capta informatiile de incredere ale utilizatorului iar atunci cand ei incearca sa se logheze pe website, informatia este impartasita si cu atacatorul.

Pasi de urmat pentru protejarea impotriva atacurilor cibernetice asupra aplicatiilor de dating
In timp ce IBM a descoperit o multime de vulnerabilitati in peste 60% din aplicatiile de dating populare de pe platforma Android, atat utilizatorii cat si companiile pot lua masuri in ceea ce priveste protejarea lor fata de eventualele amenintari:
- Fii discret: Nu divulga prea multe informatii personale pe aceste site-uri ca de exemplu, locul unde lucrezi, data de nastere sau profilele de social media pana cand nu esti comfortabil cu persoana cu care interactionezi prin intermediul aplicatiei.
- Renunta la aplicatiile care iti cer prea multe permisiuni de acces: Gandeste-te daca vrei sa utilizezi o aplicatie prin simpla verificare a permisiunilor pe care ti le cere, pe care le poti vedea in setarile dispozitivului tau mobil. Cand este cazul pentru update, de obicei aplicatiile vor reseta automat permisiunile determinand ce caracteristici ale telefonului vor trebui sa acceseze, cum ar fi agenda de contacte sau datele de GPS.
- Pastreaza-l unic: Utilizeaza parole unice pentru fiecare cont online pe care il ai. Daca folosesti aceeasi parola pentru toate conturile esti foarte expus la atacuri multiple daca un cont este compromis.
- Aplicarea patch-urilor la timp: Intotdeauna instaleaza cele mai noi patch-uri si update-uri aplicatiilor tale si dispozitivului tau cand acestea sunt disponibile. Acest lucru va repara orice eroare descoperita in dispozitivul tau si in aplicatiile tale, rezultand intr-o experienta mult mai sigura.
- Conexiuni de incredere: Utilizeaza numai conexiuni Wi-Fi de incredere cand folosesti aplicatia de dating. Hackerii adora sa foloseasca Wi-Fi access point-uri false care te conecteaza direct la dispozitivul lor pentru a executa aceste tipuri de atacuri. Multe dintre vulnerabilitatile descoperite in acest studiu pot fi exploatate via Wi-Fi.

Ce pot face companiile?
Companiile trebuie si ele sa fie pregatite pentru a se proteja fata de aplicatiile de dating vulnerabile ce activeaza in interiorul infrastructurii, in special pentru scenariul Bring Your Own Device (BYOD). IBM a descoperit ca aproape 50% din organizatiile care au fost incluse in acest studiu au cel putin o aplicatie de dating instalata pe dispozitivul mobil de serviciu sau pe dispozitivele mobile personale folosite la serviciu. Pentru a proteja bunurile confidentiale corporatiste, companiile ar trebui sa:
- Adopte modul corect de protectie: Influenta ofertelor Enterprise Mobility Management (EMM) impreuna cu capabilitatile mobile threat management (MTM) pentru a permite angajatilor sa utilizeze propriile dispozitive in timp ce se mentine securitatea organizatiei.
- Stabileasca aplicatiile care pot fi downloadate in siguranta: Facilitarea angajatilor de a downloada numai aplicatii din magazine de aplicatii autorizate precum Google Play, iTunes si din magazinul de aplicatii al organizatiei.
- Educatia este cheia: Educarea angajatilor pentru a constientiza pericolele la care se expun prin downloadarea aplicatiilor din surse terte si ce inseamna atunci cand ii acorda aplicatiei permisiuni specifice dispozitivului.
- Comunicarea imediata a potentialelor amenintari: Setarea de polite automate pe smartphone-uri si pe tablete, care iau atitudine imediat ce un dispozitiv este descoperit ca este compromis sau cand sunt descoperite aplicatii rau intentionate. Aceasta activeaza protectia asupra resurselor corporate in timp ce problemele sunt remediate.