هزاران اپلیکیشن اندروید و آی او اس کاربران را در معرض خطر قرار می دهد

این ارقام نشان می دهد که چقدر آسان است که هر کسی بتواند به این اطلاعات شخصی دسترسی پیدا کند

محققان یک شرکت امنیتی تلفن همراه  به نام Appthority، هر دو برنامه های تلفن همراه آندروید و iOS را اسکن کرده اند که از پایگاه داده های Firebase برای ذخیره داده های کاربران خود استفاده می کنند. Firebase یک پلتفرم محبوب مبتنی بر ابر برای برنامه های موبایل و وب است. این شرکت توسط گوگل در سال 2014 تاسیس شده است  بنابراین این پلتفرم یک پایه کاربری اصلی در میان برخی از توسعه دهندگان برتر Android نیز است.

این شرکت امنیتی بیش از 2.7 میلیون برنامه تلفن همراه در هر دو سیستم عامل  iOS و Android را بررسی کرده است. محققان دریافتند که 27،227 اپلیکیشن اندرویدی و 1،275 برنامه iOS اطلاعات برنامه خود را در سیستم پایگاه داده های خبری Firebase ذخیره می کنند، 3،046  از این اپلکیشن ها داده ها را در 2،271 پایگاه داده غیرقانونی ذخیره می کنند که به معنای واقعی کلمه هر کسی می تواند دسترسی داشته باشد. از این تعداد اپلیکیشن ، 2،446 در سیستم عامل اندروید و 600 اپلیکیشن باقی مانده در برنامه های iOS هستند.

در میان تمام این برنامه های آسیب پذیر، 2.6 میلیون شناسه کاربر و کلمه عبور در فرمت ساده، 25 میلیون سوابق مکان GPS ذخیره شده، 50 هزار پرونده های معاملات مالی و بیش از 4.5 میلیون شناسه کاربری  رسانه های اجتماعی دیده می شود.  سایر اطلاعاتی که منتشر شد شامل بیش از 4 میلیون پرونده PHI  یعنی اطلاعات و سوابق سلامتی و پزشکی است که شامل چت خصوصی و سوابق تجویزی است.

در کل، بیش از 100 میلیون پرونده شخصی که در مجموع بیش از 113 گیگابایت اطلاعات است، اطلاعات موجود را در برمی گیرند که این نشان از یک نقص بسیار خطرناک است.جالب اینجاستد که تعداد اپلیکیشنی که از اندروید در بالا ذکر شده است جمعا بیشاز 620 میلیون بار دانلود شده است.

و این ارقام نشان می دهد که چقدر آسان است که هر کسی بتواند به این اطلاعات شخصی دسترسی پیدا کند. بر اساس این گزارش، سرورهای  آسیب پذیر Firebase توسط فایروال و یا سیستم های احراز هویت محافظت نمی شود. ورود به این پایگاه های داده های غیرمجاز، یک “هکر” به سادگی می تواند با “/.json” با یک نام پایگاه داده خالی به انتهای نام میزبان (به عنوان مثال، “https://appname.firebaseio.com/ .json “)) ورود کند.

محققان خاطر نشان کردند که قبل از انتشار این گزارش با گوگل تماس گرفتند. آنها همچنین گوگل را از لیست کامل برنامه های نا ایمن آگاه کرده اند .این در حالی  است که گوگل لیست برنامه های آسیب پذیر را منتشر نکرده است که  شامل برنامه هایی در دسته های مختلف از پیام و امور مالی ، سلامتی و مسافرت می باشند.

این گزارش نشان می دهد که انتخاب اپلیکیشن به صرف بودن در گوگل پلی و اپ استور کافی نیست و می بایست تحقیقات بیشتری از روند کاری اپلیکیشن ها کرد.