Согласно результатам исследования IBM Security, более 60% известных приложений для знакомств потенциально уязвимы к различным кибератакам и представляют серьезную угрозу конфиденциальности личной информации пользователей и корпоративных данных.
Исследование IBM показало, что многие приложения для знакомств имеют расширенный допуск к функциям мобильных устройств, в частности к камере, микрофону, базе данных, GPS-локации и платежной информации из электронного кошелька, которые могут оказаться под угрозой атаки хакеров ввиду уязвимости программы.
По данным исследования, почти в половине организаций на рабочих мобильных устройствах, которые сотрудники используют для доступа к деловой информации, установлено по крайней мере одно популярное приложение для знакомств.
В современной сетевой культуре приложения для знакомств являются распространенным и удобным сервисом, с помощью которого одинокие люди всех возрастных категорий могут найти свою вторую половину. Как показало исследование Pew Research Center, один из 10 американцев, или примерно 31 млн. человек, пользуется услугами сайтов знакомств или приложениями. Более того, количество людей, которые встречаются с теми, с кем они общались в Интернете, выросло до 66%.
Многие потребители доверяют своим мобильным устройствам работу с различными приложениями. Именно это доверие и дает хакерам возможность эксплуатировать уязвимости, например такие, которые мы нашли в приложениях для знакомств, – сказал Калеб Барлоу, вице-президент IBM Security. – Потребители должны быть осторожны при общении в таких программах, избегая раскрытия чрезмерного объема личной информации. Наше исследование показывает, что некоторые пользователи могут быть вовлечены в небезопасный обмен данными, что часто приводит к нарушениям безопасности и конфиденциальности.
Согласно исследователям подразделения IBM Security, у 26 из 41 приложений для знакомств на платформе Android были обнаружены уязвимости средней или высокой степени риска. Анализу подверглись приложения, доступные в магазине Google Play в октябре 2014 года.
С помощью уязвимостей, обнаруженных IBM Security, хакер может получить доступ к ценной информации о пользователе. Несмотря на то, что некоторые приложения имеют в своем арсенале меры по защите конфиденциальности данных, сотрудниками IBM были выявлены и те, которые потенциально уязвимы для атак. В этом случае возможны следующие сценарии развития событий:
- Приложение для знакомств используется для загрузки вредоносного ПО: Люди теряют бдительность, в тот момент когда они стремятся показаться интересными своему собеседнику. Именно этого и ждут хакеры. Некоторые из уязвимых приложений могут быть перепрограммированы, после чего они будут отправлять сигналы об обновлениях или новых сообщениях, нажав на которые, пользователь загрузит на свое устройство вредоносные программы.
- Данные GPS используются для отслеживания перемещений пользователя: Согласно исследованию IBM, 73% из 41 популярного приложения для знакомств имеют доступ к информации о текущем местоположении и истории перемещений пользователя. Хакеры, получив доступ к этим сведениям, могут выяснить, где пользователь живет, работает или проводит большую часть своего времени.
- Кража номеров кредитных карт из приложения: 48% из 41 популярного приложения для знакомств имеют доступ к платежной информации пользователя, которая хранится на мобильном устройстве. Из-за плохого кодирования в приложении злоумышленники могут получить доступ к электронному кошельку и совершить несанкционированные транзакции.
- Дистанционное управление камерой или микрофоном телефона: С помощью всех выявленных уязвимостей хакер может получить доступ к микрофону или камере телефона, даже если пользователь не зашел в приложение. Это значит, что злоумышленник может шпионить за абонентом и подслушивать конфиденциальные разговоры на деловых встречах.
- Взлом профиля пользователя на сервисе знакомств: Хакер может изменить данные или фотографию в личном аккаунте, выдать себя за пользователя и общаться с его друзьями в приложении или раскрыть персональную информацию, что может негативно отразиться на репутации. Данные действия представляют опасность и для других пользователей, так как похищенный профиль может использоваться с целью доступа к потенциально компрометирующим данным собеседника.
В число уязвимостей, выявленных в приложениях для знакомств, входят: межсайтовый скриптинг посредством вредоносного ПО, включение/отключение плагина защиты, слабый генератор псевдослучайных чисел и фишинг посредством вредоносного ПО. С помощью них хакер может совершить атаку на мобильное устройство.
Например, хакеры могут перехватить файлы cookies из приложения через Wi- Fi или другое ненадежное соединение, а затем благодаря им получить доступ к другим функциям телефона: камере, GPS-навигации и микрофону, использование которых разрешено сервису. Злоумышленники также могут создать поддельный экран входа в систему для взлома учетных данных аккаунта. То есть, когда пользователь попытается зайти в свой профиль, вся информация будет передана мошеннику.
Меры защиты от атак через уязвимые приложения для знакомств
Исследователи IBM обнаружили ряд уязвимостей в более чем 60% популярных приложений для знакомств на платформе Android. Как бизнес, так и потребители могут предпринять различные меры для защиты от потенциальных угроз.
Что может сделать потребитель?
- Храните свои данные в тайне: Не разглашайте слишком много личной информации на сайтах знакомств, в частности, данные о месте работы, день вашего рождения и аккаунты в социальных сетях, пока вы не будете уверены в своем собеседнике.
- Ограничивайте доступ: Вы можете решить, пользоваться приложением или нет, посмотрев в настройках его запросы на доступ к различным функциям на мобильном устройстве. При обновлении программы автоматически сбрасывают установки, например такие, как доступ к вашей адресной книге или GPS-навигации.
- Будьте неповторимы: Используйте уникальные пароли для каждого онлайн аккаунта. Если вы используете одинаковый пароль для всех учетных записей, и один профиль оказывается под угрозой, остальные могут быть легко скомпрометированы.
- Своевременно обновляйте программы: Всегда устанавливайте последние доступные патчи и обновления, что позволит устранить любые выявленные ошибки и повысить удобство и безопасность использования приложений и устройств.
- Пользуйтесь только доверенными соединениями: Используйте только надежные Wi–Fi соединения при запуске приложений для знакомств. Хакеры любят создавать поддельные точки доступа, подключившись к которым, ваше устройство будет уязвимо для атак. Многие из уязвимостей, обнаруженных в результате исследования, могут быть использованы для несанкционированных действий именно с помощью Wi-Fi.
Что может предпринять бизнес?
Компании также должны быть готовы к защите корпоративной инфраструктуры от уязвимостей пользовательских приложений, что особенно актуально для BYOD сценариев. Специалисты IBM выяснили, что хотя бы одна популярная программа для знакомств установлена на личных или корпоративных устройствах сотрудников в половине исследуемых компаний. Для защиты бизнес-активов предприятиям следует:
- Создать защитные механизмы: Задействовать системы для управления безопасностью мобильных устройств с функцией защиты от угроз, чтобы предоставить сотрудникам возможность использовать собственные устройства и в то же время поддерживать уровень безопасности предприятия на высоком уровне.
- Составить список разрешенных для загрузки приложений: Данная мера позволяет сотрудникам загружать приложения только из авторизованных магазинов приложений, таких как Google Play и iTunes, или с корпоративного сайта.
- Главная задача – обучение: Следует провести обучение сотрудников правилам загрузки приложений и рассказать им об опасностях скачивания сторонних программ и последствиях предоставления доступа к различным функциям мобильного устройства.
- Своевременно оповещать о потенциальных угрозах: Необходимо выработать четкие правила работы со смартфонами и планшетами, где будут прописаны немедленные меры, если устройство оказывается скомпрометированным или на нем обнаружены вредоносные приложения. Данные действия обеспечат защиту корпоративных ресурсов, пока угроза не будет устранена.