Миллионы Android-приложений подвергают риску данные пользователей

Миллионы Android-приложений подвергают риску данные пользователей

Миллионы Android-приложений подвергают риску данные пользователей

Исследователи «Лаборатории Касперского» проанализировали несколько популярных приложений для Android и обнаружили, что некоторые из них передают незашифрованные данные пользователей через протокол HTTP. Этим они подвергают такую информацию опасности раскрытия. Как выяснили эксперты, это в основном происходит из-за того, что разработчики используют готовые сторонние рекламные SDK. Суммарное количество установок исследованных приложений составляет несколько миллиардов по всему миру.

SDK — это специальные наборы инструментов для создания ПО для той или иной платформы. Часто они распространяются бесплатно и позволяют разработчикам сфокусироваться на уникальных особенностях приложения, предоставляя готовые решения для стандартных функций. Например, рекламные SDK собирают пользовательские данные, чтобы показывать релевантные объявления. Для этого модуль передаёт данные на домены популярных рекламных сетей.

Дальнейший анализ приложений показал, что данные передаются незашифрованными по протоколу HTTP. Это значит, что во время передачи на сервер они никак не защищены: из-за отсутствия шифрования данные может перехватить кто угодно. Например, это могут сделать злоумышленники через незащищённый Wi-Fi или заражённый домашний роутер.

Кроме того, перехваченные данные могут быть изменены. Например, приложение может начать показывать вредоносные объявления вместо легитимных. В результате, пользователя могут побудить скачать вредоносное приложение и таким образом подвергнуть ещё большей опасности.

Исследователи «Лаборатории Касперского» проанализировали логи и сетевой трафик приложений во внутренней виртуальной среде (так называемой «песочнице») Android. Это необходимо чтобы понять, какие приложения передают незашифрованные данные по HTTP. Они выявили несколько известных доменов, большинство из них относятся к популярным рекламным сетям. Количество приложений, использующих эти SDK, достигает нескольких миллионов.

Среди информации, которая может быть украдена в таких случаях:

  • личные данные: имя пользователя, возраст, пол; иногда сюда включают уровень дохода, номер телефона и адрес электронной почты (согласно другому исследованию «Лаборатории Касперского», в приложениях для знакомств люди делятся довольно большим количеством информации);
  • информация об устройстве: производитель, модель, разрешение экрана, версия ОС и название приложения;
  • местоположение устройства и потенциально пользователя.

«Сначала мы подумали, что это просто несколько случаев небрежного отношения к безопасности со стороны разработчиков. Однако реальный масштаб проблемы поражает. Сторонние SDK используются в миллионах приложений. Это подвергает личные данные угрозе: они могут быть украдены и модифицированы. А это, в свою очередь, может привести к заражениям вредоносным ПО, попыткам шантажа и другим атакам на пользователей и их устройства», — отметил Роман Унучек, антивирусный эксперт «Лаборатории Касперского».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Microsoft уличили в самовольном сборе данных для обучения нейросетей

Как выяснилось, набор функций Connected Experiences приложений Microsoft Office, предназначенный для анализа созданных пользователями материалов, передается в Microsoft для обучения нейросетей. Отключение этой функции возможно, но неочевидно. Сама корпорация все отрицает.

На включенную функциональность по умолчанию, обратил внимание пользователь соцсети X (бывший Twitter) под ником nixCraft. Причем явного согласия на это Microsoft не спрашивает.

«Этот параметр в дефолтной конфигурации позволяет Microsoft использовать любые документы, включая статьи, романы или другие произведения, в том числе являющиеся объектом авторских прав или содержащих коммерческую тайну без явного согласия авторов или владельцев, — предупреждает обозреватель онлайн-издания Tom’s Hardware Guide Антон Шилов.

«Возникает также конфликт интересов, поскольку данные, созданные в Microsoft Office, могут использоваться для обучения внутренних нейросетей в компаниях. По этой причине любой, кто обеспокоен защитой своей интеллектуальной собственности или конфиденциальной информации, должен немедленно принять меры».

Отключение данной функции возможно, но неочевидно. Для этого необходимо перейти в меню Файл → Параметры → Центр управления безопасностью → Параметры центра управления безопасностью → Параметры конфиденциальности → Параметры конфиденциальности → Сетевые функции → Взаимодействия для анализа контента и снять галочку с пункта «Включить функции, позволяющие анализировать содержимое».

По мнению Шилова, действия Microsoft находятся в русле общей тенденции использования данных пользователей для обучения ИИ, причем без явного согласия последних. Это не раз становилось поводом для скандалов и доходило до судебных разбирательств.

Microsoft ответила на обвинение. По словам ее представителей, Connected Experiences собирает некоторые данные с помощью офисных приложений, но это нужно только для работы сетевых функций, например, совместной работы над документами. Для обучения нейросетей эти данные не используются.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru