Уязвимость в Truecaller представляет опасность для 100 млн пользователей

Уязвимость в Truecaller представляет опасность для 100 млн пользователей

Уязвимость в Truecaller представляет опасность для 100 млн пользователей

Популярный сервис Truecaller позволяет пользователю с легкостью идентифицировать и сортировать любые телефонные номера. Это достаточно удобно, если, например, нужно заблокировать SMS-сообщения от спамеров или отфильтровать что-либо еще.

Приложения Truecaller представлены для платформ Android, iOS, Windows, аппаратов Nokia Series 40, Symbian и BlackBerry. Специалисты Cheetah Mobile  выявили, что приложение для Android, установленное более 100 млн раз, содержит опасную уязвимость.

Во время первой установки приложения, Truecaller для Android просит пользователя ввести телефонный номер, адрес email и ряд других личных данных. Предоставленная информация проверяется посредством SMS-сообщения или автоматического звонка, и впоследствии приложение более не отображает экран логина, пишет xakep.ru.

Исследователи Cheetah Mobile обнаружили, что при этом Truecaller использует для аутентификации пользователей номер IMEI (International Mobile Equipment Identity). Злоумышленнику достаточно знать этот номер, чтобы извлечь персональные данные пользователя с серверов приложения. Так как узнать IMEI владельца устройства в наше время – не большая проблема, пользователи Truecaller оказались под угрозой.

Proof-of-concept, созданный экспертами Cheetah Mobile, выявил, что серверы готовы поделиться со злоумышленниками именем аккаунта пользователя, его полом, адресом email, домашним адресом, фотографией профиля и любыми другими данными, которые тот предоставил о себе. Более того, знание IMEI жертвы позволяет атакующим удаленно изменять настройки аккаунта. Можно отключить блокировку спама, добавить в черный список новые контакты или вообще обнулить список блокировок.

Знание IMEI позволит злоумышленникам связать определенный номер телефона и IMEI с реальным человеком. Также атакующие могут просто перебирать случайные номера IMEI, чтобы похитить персональные данные пользователей, к примеру, для будущих фишинговых кампаний.

22 марта 2016 года разработчики Truecaller представили новую версию приложения для Android, в которой проблема была устранена, и теперь рекомендуют всем пользователям обновиться как можно быстрее. Судя по всему, на другие платформы найденная специалистами Cheetah Mobile уязвимость не распространяется, хотя эксперты еще продолжают тестировать версию для iOS.

Дуров сетует: приложение ЕС для проверки возраста взломали за две минуты

Сооснователь Telegram Павел Дуров резко раскритиковал новое европейское приложение для проверки возраста пользователей. По его словам, решение, представленное Еврокомиссией как приватный и безопасный инструмент, якобы удалось взломать всего за две минуты.

Дуров ссылается на публикацию Cybernews, однако саму историю он подал довольно жёстко: такой сценарий может со временем превратить систему проверки возраста в более жёсткий механизм цифрового контроля.

Поводом для спора стал свежий анонс Еврокомиссии. 15 апреля она объявила, что европейское приложение для проверки возраста технически готово и вскоре станет доступно гражданам.

В Брюсселе подают этот инструмент как способ защитить детей в интернете и при этом не заставлять платформы собирать лишние персональные данные. Еврокомиссия отдельно подчёркивает, что решение должно помогать подтверждать возраст с сохранением конфиденциальности пользователя.

Дуров, впрочем, увидел в этой истории совсем другую логику. В своём телеграм-канале он написал, что сначала пользователям показывают приложение, которое якобы уважает приватность, затем оно быстро компрометируется, а после этого появляется предлог ослабить конфиденциальность ради «исправления» проблемы. В его трактовке это может привести к созданию инструмента слежки за пользователями соцсетей в странах ЕС.

Сама идея проверки возраста сейчас становится для ЕС всё более важной. Еврокомиссия продвигает её как часть более широкой политики по защите несовершеннолетних в интернете, особенно на платформах с потенциально опасным или взрослым контентом.

RSS: Новости на портале Anti-Malware.ru