ผู้ใช้แอนดรอยด์ 100 ล้านรายจาก 23 แอปเสี่ยงข้อมูลส่วนตัวหลุดเนื่องจากการตั้งค่าระบบ cloud ที่ผิดพลาด

ตอนนี้แอปใหม่ๆหันมาใช้งาน Cloud มากขึ้น ไม่ว่าจะเป็นพื้นที่เก็บข้อมูล, ใช้เป็น databases แบบ Real time, จัดการการแจ้งเตือน, วิเคราะห์การใช้งานแอปของตัวเอง แต่ปัญหาคือนักพัฒนามักจะละเลยเรื่องความปลอดภัยโดยเฉพาะเรื่องของการตั้งค่าบน Cloud

ทาง Check Point Research ได้ค้นพบว่ามีการหลุดข้อมูลอย่างอีเมล, ข้อความแชท, ข้อมูลพิกัด, รหัสผ่าน, รูปภาพ, ข้อมูลส่วนตัวรวมถึงข้อมูลอื่นๆที่เปิดให้ทุกคนเข้าถึงได้เพียงแค่มีอินเทอร์เน็ต โดยข้อมูลนี้หลุดมาจาก 23 แอปบนแอนดรอยด์เนื่องจากการตั้งค่าบริการ Cloud ที่ผิดพลาด ซึ่งข้อมุลเหล่านี้อาจจะนำไปสู่การหลอกลวง, การสวมรอยได้

แอปที่มีการหลุดของข้อมูลนั้นมียอดดาวน์โหลดตั้งแต่ 10,000 – 10 ล้านครั้ง มีตั้งแต่แอปดูดวง, แอปเรียกแท็กซี่, แอปสร้างโลโก้ และแอปอัดหน้าจอ เป็นต้น

Figure 1 – Some apps on Google Play with open real-time database

Figure 2 – Email, Password, Username and ID of a user on Logo Maker

ยกตัวอย่างเช่นแอป Astro Guru ที่มียอดดาวน์โหลดมากกว่า 10 ล้านครั้งนั้น จะให้เราใส่ซื่อ วันเกิด เพศ พิกัด อีเมล การจ่ายเงิน จากนั้นจะส่งคำพยากรณ์มาให้เรา ลองนึกดูว่าเมื่อข้อมูลเหล่านี้หลุดออกไปจะน่ากลัวขนาดไหน

Push Notifications

นักพัฒนายังใช้ push notification ในการส่งการแจ้งเตือนไปยังผู้ใช้เวลาที่มีฟีเจอร์ใหม่ๆ แจ้งเตือนข้อความ ซึ่งบริการนี้จะใช้  key ในการระบุว่าใครเป็นส่งมา ซึ่ง key เหล่านี้จะถูกฝังในแอปเลย หากแอกเกอรืเข้าถึงได้ก็จะสามารถควบคุมการแจ้งเตือน ส่งข้อความฝังมัลแวร์ หรือพาไปยังเว็บฟิชชิ่ง โดยที่เราหลงเชื่อว่านักพัฒนาเป็นคนส่งมา

Cloud Storage

Cloud storage เป็นบริการที่ได้รับความนิยมเพิ่มขึ้นเรื่อยๆ ทำให้เข้าถึงไฟล์ที่แชร์โดยนักพัฒนาหรือแอปนั้นได้ ทาง CPR ได้พบตัวอย่างน่าสนใจคือ

  • แอป “Screen Recorder” ที่มียอดดาวน์โหลดมากกว่า 10 ล้านครั้ง จะมีการเก็บสิ่งที่เราบันทึกหน้าจอไว้บน cloud แต่ถ้านักพัฒนาเก็บข้อมูบัญชีผู้ใช้และรหัสผ่านไว้บน cloud ด้วยก็มีความเสี่ยงที่จะเข้าถึงข้อมูลได้ง่ายเช่นกัน ซึ่งทางนักวิจัยจาก  CPR สามารกู้  keys เพื่อเข้าถึงวิดีโอที่บันทึกไว้ได้
  • แอปต่อมาคือ “iFax” แอปส่งโทรสารที่เก็บทั้ง keys และเอกสารที่ส่งแฟกซ์ทั้งหมดไว้ นักวิจัยได้ลองเข้าถึงข้อมูลเหล่านี้ดูพบว่าสามารถเข้าถึงไฟล์ที่ผู้ใช้กว่า 500,000 คนส่งหากันได้

แฮกเกอร์ก็มีหลายวิธีในการเข้าถึงแอปเหล่านี้ ดังนั้นการลงแอปป้องกันไวรัสไว้ในเครื่องก็จะช่วยป้องกันได้ในระดับหนึ่ง

ที่มา CPR