Неправильная конфигурация Firebase сделала уязвимыми более 4 тысяч Android-приложений

[Ippolitovich]

Эксперты по IT-безопасности обнаружили серьёзную уязвимость в платформе Google Firebase, предназначенной для упрощения разработки мобильных приложений. Из-за неправильной конфигурации продукта разработчики как минимум 4 тысяч Android-приложений случайно подвергли риску личные данные пользователей. Воспользовавшись уязвимостью, злоумышленники могут узнать чужие адреса электронной почты, логины и пароли, а также почитать сообщения из чатов.

 

Об уязвимости рассказала исследовательская группа Comparitech, возглавляемая специалистом Бобом Дьяченко (Bob Diachenko). Она проанализировала более 515 тысяч приложений из каталога Google Play и выяснила, что в 155 тысячах из них задействована платформа Firebase. Дальнейшее исследование показало, что в 4 тысячах случаев она была неправильно настроена, и многие данные пользователей приложений были легко доступны для злоумышленников.

 

 

Хакеры могут узнать URL-адреса баз данных Firebase через поисковую систему Bing, которая в отличие от Google до сих пор их индексирует. Добавив в конец любого адреса расширение .json, злоумышленники могут открыть себе возможность к просмотру и загрузке содержимого баз данных.

• В базах данных 4282 приложений можно найти:
• 7 миллионов адресов электронной почты;
• 4,4 миллиона логинов;
• 1 миллион паролей;
• 5,3 миллиона телефонных номеров;
• 18,3 миллиона полных имён;
• 6,8 миллионов сообщений из чатов;
• 6,2 миллиона данных о местоположении людей;
• 156 тысяч IP-адресов;
• 560 тысяч адресов мест проживания.

По словам исследователей, так как Google Firebase является кроссплатформенной платформой, в опасности также могут находиться данные пользователей iOS- и веб-приложений. Разработчикам приложений рекомендуется настроить Firebase, следуя документации Google. Представители компании узнали об уязвимости 22 апреля и сообщили, что они регулярно предупреждают разработчиков о возможных ошибках в конфигурации Firebase. Более того, они всегда предлагают рекомендации по исправлению проблем и помогают особенно сильно уязвимым проектам.

 

 

Это не единственная новость за последнее время, в которой говорится о краже личных данных пользователей. Недавно хакерская группировка ShinyHunters взломала базы данных 10 компаний и начала продавать информацию о 73 миллионах пользователей за 18 000 долларов.