Уязвимость в Apple Music для Android расскрывает данные пользователя

Уязвимость в Apple Music для Android расскрывает данные пользователя

Выпущенное на этой неделе обновление приложения для Android Apple Music, устраняет уязвимость проверки сертификата, которая может быть использована для перехвата конфиденциальных данных.

Согласно Google Play, Apple Music для Android установили от 10 до 50 миллионов раз. В новой версии 2.0 пользователи получат новый дизайн и функции. В дополнение к этому, обновление исправляет брешь в безопасности, которая может позволить злоумышленнику получить информацию о пользователе (атака man-in-the-middle).

Об уязвимости Apple сообщил Дэвид Кумбер (David Coomber) из Info-Sec. Она получила идентификатор CVE-2017-2387 и затрагивает Apple Music версии 1.2.1 и более ранние.

В опубликованном на этой неделе сообщении, эксперт утверждает, что в январе просил Apple обновить статус относительно исправления этой уязвимости. На это компания ответила, что все еще работает над устранением.

Проблема, по мнению исследователя, заключалась в том, что приложение не проверяло SSL-сертификаты, полученные при подключении к серверам.

«Злоумышленник просто может подставить поддельный сертификат, которое приложение молча примет. Благодаря этой схеме хакер может получить конфиденциальную информацию пользователя» - пояснил Кумбер в своем сообщении.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Две трети россиян столкнулись с попытками кражи аккаунта — на 40% успешными

Согласно результатам опроса, проведенного в соцсети «Одноклассники» и на сервисе Работа.ру, с попытками захвата аккаунта сталкивались 67% пользователей. В 40% случаев атака оказалась успешной, но 34% жертв удалось вернуть доступ.

В опросе приняли участие свыше 3600 представителей всех регионов России. Как оказалось, взломщиков больше всего интересуют соцсети (66%), личная почта (35%) и онлайн-банкинг (28%). С попытками кражи ключей от мессенджеров и рабочих имейл столкнулись 12 и 8% респондентов соответственно.

Для получения доступа к аккаунтам злоумышленники чаще всего используют утечки на сторонних ресурсах, автоподбор учетных данных и фишинг. Избежать взлома участникам опроса помогают разумные меры предосторожности:

  • 60% не переходят по подозрительным ссылкам;
  • 56% никогда не делятся кодами;
  • 51% придумывают сложные пароли;
  • 38% совершают покупки только на проверенных сайтах;
  • 19% часто меняют пароли;
  • 9% используют менеджеры паролей.

Опрос выявил и небезопасные практики пользователей. Из тех, кто столкнулся с попытками взлома аккаунта, 41% не используют двухфакторную аутентификацию (2FA), а 26% совершили переход по фишинговой ссылке. Также 10% признались, что используют один пароль на все нужды, 3% записывают пароли на бумаге, 2% нечаянно слили ключ доступа вместе с фото, опубликованным в соцсети.

 

«99% всех взломов личных аккаунтов являются не целенаправленными, а массовыми, — отметил Ярослав Полин, руководитель направления ОК по защите пользователей. — Взломанные аккаунты, как правило, используют для рассылки спама, фишинга и прочих мошеннических схем. Помимо этого, полученные базы данных продают, а далее пополняют уже имеющуюся информацию о человеке и используют с целью более точечных атак».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru