Ραντεβού με έναν χάκερ: Χρήστες των πιο δημοφιλών εφαρμογών παγκοσμίως αντιμέτωποι με σοβαρούς κινδύνους ασφάλειας

Οι ερευνητές της Kaspersky Lab έχουν ανακαλύψει μια ποικιλία ευπαθειών σε δημοφιλή dating apps, οι οποίες ενδέχεται να έχουν διάφορες αρνητικές συνέπειες για τους χρήστες: από την απλή αναγνώριση ενός συγκεκριμένου προσώπου, έως τις μη ασφαλείς μεταδόσεις δεδομένων και τη διαρροή προσωπικών πληροφοριών. Μετά την ανάλυση εννέα δημοφιλών παγκόσμιων υπηρεσιών, διαπιστώσαμε ότι ορισμένες από αυτές παρέχουν πολύ χαμηλά επίπεδα προστασίας δεδομένων.

Τα dating apps γίνονται όλο και πιο δημοφιλή ανά τον κόσμο. Σύμφωνα με την τελευταία έκθεση «Dangerous Liaisons: is everyone doing it online?», ένας στους τρεις χρήστες χρησιμοποιεί αυτήν την περίοδο μια υπηρεσία online dating. Όμως, με την αυξανόμενη δημοτικότητα αυτών των υπηρεσιών έρχεται κι ένα σημαντικό ζήτημα ασφάλειας, δεδομένου ότι οι περισσότερες υπηρεσίες online dating απαιτούν από τους χρήστες να μοιράζονται προσωπικές πληροφορίες. Λαμβάνοντας αυτό υπόψη, μια ομάδα ερευνητών της Kaspersky Lab αποφάσισε να εξετάσει πόσο ασφαλείς είναι πραγματικά. Ανέλυσαν τις πιο δημοφιλείς εφαρμογές online dating σε διάφορες περιοχές του κόσμου, αναζητώντας διάφορες ευπάθειες που θα μπορούσαν να επηρεάσουν την πραγματική ζωή των χρηστών και να αλλάξουν το status τους μετατρέποντάς τους από «daters» σε «θύματα».

Αυτή η έρευνα αποκάλυψε ότι οι χρήστες αντιμετωπίζουν πολλαπλούς κινδύνους όταν χρησιμοποιούν εφαρμογές διαδικτυακών γνωριμιών. Για παράδειγμα, μπορούν να αναγνωριστούν με την εύρεση του ονοματεπώνυμού τους από προφίλ σε κοινωνικά δίκτυα, ενώ μπορούν επίσης να εντοπιστούν και στον φυσικό κόσμο μέσω της χρήσης δεδομένων γεωγραφικής κατανομής. Επιπλέον, μπορούν να χάσουν την πρόσβαση στους λογαριασμούς τους ή να πέσουν σε λάθος χέρια τα προσωπικά τους δεδομένα.

Οι ειδικοί μας έχουν ανακαλύψει έναν κοινό κίνδυνο ασφάλειας που υπάρχει σε πολλές εφαρμογές και σχετίζεται με την token-based μέθοδο ελέγχου ταυτότητας, η οποία χρησιμοποιείται από dating apps για νέες διαδικασίες εγγραφής. Ένα token δημιουργείται κατόπιν αιτήματος από έναν server προκειμένου να αναγνωριστεί με μοναδικό τρόπο ο χρήστης και συνήθως ζητά πρόσβαση σε λογαριασμό στο Facebook. Παρέχει στη συνέχεια πρόσβαση σε γενικές πληροφορίες χρήστη, συμπεριλαμβανομένων ονοματεπωνύμου, email και εικόνας προφίλ του χρήστη. Με τη χρήση αυτής της μεθόδου, οι εφαρμογές λαμβάνουν όλα τα απαραίτητα δεδομένα για να μπορέσουν να πιστοποιήσουν τον χρήστη στους servers τους. Ωστόσο, με βάση την έρευνα, τα tokens αποθηκεύονται συχνά ή χρησιμοποιούνται επισφαλώς και, ως εκ τούτου, μπορούν εύκολα να κλαπούν. Ως αποτέλεσμα, οι εισβολείς μπορούν να αποκτήσουν προσωρινή πρόσβαση στους λογαριασμούς των θυμάτων ακόμη και χωρίς τα στοιχεία σύνδεσης και τον κωδικό πρόσβασής τους.

Έπειτα από αυτήν την ευπάθεια με την επισφαλή αποθήκευση token, οι χρήστες ενδέχεται επίσης να αντιμετωπίσουν μια άλλη απειλή που σχετίζεται με την ασφάλεια των ιστορικών μηνυμάτων που είναι αποθηκευμένα στη συσκευή και στα οποία μπορούν να αποκτήσουν πρόσβαση και να διαβάσουν οι επιτιθέμενοι. Τέτοιες επιθέσεις αποτελούν ιδιαίτερη απειλή για τους χρήστες Android συσκευών. Ορισμένοι από αυτούς, οι οποίοι τρέχουν παρωχημένο λογισμικό, έχουν ανοικτές ευπάθειες που επιτρέπουν στους επιτιθέμενους να αποκτήσουν root access στη συσκευή, η οποία μπορεί να χρησιμοποιηθεί για να αποκτήσουν πρόσβαση σε ιδιωτικές πληροφορίες, συμπεριλαμβανομένης της δραστηριότητας των χρηστών στις εφαρμογές online dating, όπως τα γραπτά μηνύματα και οι φωτογραφίες που βλέπουν.

Επιπλέον, οι χρήστες των έξι εφαρμογών που αναλύθηκαν μπορούν να εντοπιστούν από τη θέση τους. Σε ορισμένες από τις εφαρμογές, η Kaspersky Lab εντόπισε επίσης κινδύνους στη διαδικασία διαβίβασης δεδομένων. Παρόλο που οι περισσότερες εφαρμογές χρησιμοποιούν SSL (Secure Sockets Layer) για ασφαλή επικοινωνία με διακομιστές, ορισμένα δεδομένα αποστέλλονται μέσω του πρωτοκόλλου HTTP και δεν είναι κρυπτογραφημένα. Αυτό παρέχει στους χάκερς τη δυνατότητα να παρακολουθήσουν αυτές τις επικοινωνίες, οι οποίες συχνά περιέχουν προσωπικές πληροφορίες όπως η τοποθεσία του χρήστη, τα προφίλ που επισκέπτεται, τα μηνύματα, τα δεδομένα των συσκευών κ.λπ. Χρησιμοποιώντας μια επισφαλή σύνδεση, οι εισβολείς μπορούν επίσης να αποκτήσουν τον έλεγχο του λογαριασμού του θύματος.

«Η έρευνά μας αποδεικνύει ότι οι χρήστες εφαρμογών online dating  πρέπει να ενδιαφέρονται πολύ για την ψηφιακή ασφάλεια, επειδή πολλές από αυτές τις υπηρεσίες δεν προστατεύονται από διάφορες επιθέσεις. Εκτός αυτού, οι χρήστες διατρέχουν τον κίνδυνο να μοιράζονται ευαίσθητες προσωπικές πληροφορίες στα προφίλ τους, όπως τον τόπο εκπαίδευσης και εργασίας τους. Οπλισμένοι με αυτές τις πληροφορίες, οι εισβολείς μπορούν εύκολα να βρουν τους πραγματικούς λογαριασμούς των θυμάτων στα δίκτυα Facebook και LinkedIn. Ανοίγει επίσης δυνατότητες για παρενόχληση των χρηστών και παρακολούθηση των κινήσεων τους στην πραγματική ζωή. Ως εκ τούτου, οι χρήστες θα πρέπει να είναι σίγουροι ότι διαφυλάσσουν την ιδιωτικότητα, την ασφάλεια και την προστασία των δεδομένων τους όταν βγαίνουν διαδικτυακά ραντεβού», δήλωσε ο Roman Unuchek, ειδικός ασφάλειας της Kaspersky Lab.

Για να αποτρέψετε την κλοπή των δεδομένων σας, η Kaspersky Lab συνιστά τα εξής:

• Αποφύγετε τα δημόσια Wi-Fi hotspot που προσφέρουν περιορισμένη προστασία.
• Χρησιμοποιήστε ένα VPN δίκτυο για να εξασφαλίσετε μια ασφαλή σύνδεση.
• Μην κοινοποιείτε ευαίσθητες πληροφορίες ταυτοποίησής σας, όπως η εκπαίδευση και η εργασία σας.
• Εγκαταστήστε μια αξιόπιστη λύση ασφάλειας στη συσκευή σας, όπως το Kaspersky Internet Security for Android.

Για περισσότερες πληροφορίες σχετικά με τις ευπάθειες των εφαρμογών διαδικτυακών γνωριμιών, μπορείτε να διαβάσετε το blogpost στον ειδικό ιστότοπο Securelist.com.