More Than 4,000 Android Apps are Reportedly Leaking User Passwords

Einige Leute können eine lange Liste von Argumenten gegen die Verwendung von Android vorbringen, und Sie können darauf wetten, dass die Sicherheit ganz oben steht. Das Veröffentlichen von Apps auf Google Play ist im Vergleich zum App Store von Apple viel einfacher, und Malware-Betreiber nutzen dies voll aus. Trotz der zahlreichen Kampagnen und der daraus resultierenden Sicherheitsvorkehrungen schaffen es bösartige Apps immer wieder, durch die Ritzen zu rutschen, und Android-Benutzer werden ständig daran erinnert, mit der von ihnen installierten und verwendeten Software vorsichtig umzugehen.

Eine kürzlich von einem Forscherteam von Comparitech durchgeführte Studie zeigt jedoch, dass Sie Ihre Daten immer noch offenlegen können, egal wie wachsam Sie sind. Demnach können dank einiger Konfigurationsfehler Millionen von Datensätzen, die von Tausenden von Apps gespeichert wurden, mit einer einzigen Suchabfrage abgerufen werden, und dieses Mal ist das Problem nicht auf Android beschränkt.

Tausende von Firebase-Anwendungen speichern Benutzerdaten in ungeschützten Datenbanken

Das Expertenteam wurde von Bob Diachenko geleitet, der mehr darüber erfahren wollte, wie Entwickler Firebase verwenden. Firebase ist eine App-Entwicklungsplattform, die Programmierern eine Reihe von Tools zur Verwaltung von Mobil- und Webanwendungen bietet, darunter Authentifizierungsmechanismen und Cloud-Messaging-Funktionen. Diachenko war an den Datenspeichermechanismen von Firebase interessiert.

Die Forschung begann mit etwas mehr als einer halben Million Android-Anwendungen. 155.000 davon basierten auf Firebase, und er verwendete die REST-API der Plattform, um auf die von den Apps gespeicherten Daten zuzugreifen. Die Datenbanken von 11.730 Apps waren öffentlich zugänglich und nicht durch ein Passwort geschützt. 4.282 davon enthielten vertrauliche Informationen. Zu den durchgesickerten Daten gehörten unter anderem:

• 156 Tausend IP-Adressen
• 560 Tausend physische Adressen
• 1 Million Passwörter
• 4,4 Millionen Benutzernamen
• 5,3 Millionen Telefonnummern
• 6,2 Millionen Datensätze mit GPS-Daten
• 6,8 Millionen Chat-Nachrichten
• 7 Millionen E-Mail-Adressen
• 18,3 Millionen Namen

Darüber hinaus enthielten einige der exponierten Aufzeichnungen auch Kreditkartendaten und sogar Fotos von Ausweisdokumenten.

Noch besorgniserregender ist, dass die Daten im JSON-Format gespeichert und von Bing indiziert werden. Mit anderen Worten, das Herunterladen einer gesamten Datenbank mit vertraulichen Informationen kann so einfach sein wie das Eingeben einer Abfrage in die Suchmaschine von Microsoft.

Wie groß ist das Problem genau?

Um den Ernst der Lage zu betonen, versuchte Diachenkos Team, die Zahlen ins rechte Licht zu rücken. Die anfälligen Apps machen weniger als 1% aller von den Experten analysierten Anwendungen aus, was vielleicht nicht viel klingt. Wenn wir jedoch davon ausgehen, dass die Rate für den gesamten Play Store gleich ist, würden wir zu dem Schluss kommen, dass etwa 24 Tausende der auf Google Play angebotenen Anwendungen verlieren vertrauliche Daten. Und wenn Sie der Meinung sind, dass dies nicht so schlimm ist, sollten Sie wahrscheinlich die Tatsache berücksichtigen, dass die 4.282 Apps, die Diachenko und sein Team angesehen haben, zusammen eine Download-Anzahl von 4,22 Milliarden haben.

Das Problem geht über Google Play und Android hinaus. Entwickler von webbasierten und iOS-Anwendungen verwenden ebenfalls Firebase, und wir können nur raten, wie viele von ihnen denselben Konfigurationsfehler gemacht haben.

Die Entwickler der 4.282 anfälligen Apps wurden aufgefordert, ihre Datenbanken zu sichern, nachdem Diachenko das Problem Google mitgeteilt hatte. Entwicklern mobiler Apps wird empfohlen, beim Einrichten ihrer Firebase-Anwendungen etwas vorsichtiger vorzugehen. In der Zwischenzeit wird den Benutzern mitgeteilt, dass sie für alle ihre Konten eindeutige Kennwörter verwenden und nicht zu viele Informationen mit den Anwendungen auf ihren Smartphones teilen sollen. Leider ist dies in diesem speziellen Fall alles, was sie tun können.