Баг Facebook Messenger для Android позволял шпионить за пользователями

Баг Facebook Messenger для Android позволял шпионить за пользователями

Баг Facebook Messenger для Android позволял шпионить за пользователями

В мобильной версии приложения Facebook Messenger устранили уязвимость, с помощью которой можно было прослушивать окружение вызываемого абонента. По свидетельству нашедшего баг эксперта, скрытное подключение к целевому Android-устройству в данном случае выполняется за пару секунд.

Новую лазейку для шпионов обнаружила участница ИБ-проекта Google Project Zero Натали Силванович (Natalie Silvanovich). В Facebook находку оценили в $60 тыс. — это один из крупнейших призов, которые компания выдает в рамках своей программы для баг-хантеров.

Причиной появления уязвимости, со слов Силванович, является некорректная реализация протокола SDP (Session Description Protocol, протокол описания сеансов передачи мультимедиа-данных). Этот протокол является важной частью технологии WebRTC (Web Real-Time Communication, коммуникации в реальном времени), позволяющей проводить конференции в браузере.

При установке WebRTC-соединения между мобильными устройствами происходит краткий обмен сообщениями. Отвечая на звонок, абонент нажимает соответствующую кнопку, подтверждая тем самым свое согласие на подключение и трансляцию аудио.

Проводя аудит мессенджера Facebook, эксперт обнаружила, что из-за ошибки разработчиков злоумышленник может с помощью сообщения SdpUpdate запустить аудиотрансляцию в ходе вызова — без ведома и согласия адресата. Это SDP-сообщение не используется при установке соединения WebRTC, но его вброс позволит автору атаки услышать через наушники все, что происходит рядом с вызываемым абонентом.

Эксплуатация уязвимости предполагает наличие разрешения на звонок намеченной жертве — к примеру, злоумышленник должен числиться в списке друзей на Facebook. Силванович провела пробную атаку на Android с установленным Facebook Messenger версии 284.0.0.16.119 и выяснила, что искомый результат можно получить за пару секунд.

Роскомнадзор судится с крупнейшими в мире игровыми студиями

Роскомнадзор подал иски сразу к нескольким крупным разработчикам игр. Поводом стал отказ от локализации персональных данных российских пользователей. По данным СМИ, иски поданы как минимум к семи игровым студиям, среди которых Electronic Arts (The Sims, Battlefield, FIFA и др.) и Take-Two Interactive Software (Grand Theft Auto, Red Dead Redemption).

Все материалы направлены в судебный участок мирового судьи в Таганском районе Москвы по ч. 8 ст. 13.11 КоАП РФ — нарушение законодательства о персональных данных.

По данным юридической компании Semenov & Pevzner, которые приводит «Коммерсантъ», Роскомнадзор предъявил претензии к зарубежным игровым студиям из-за несоблюдения требований по персональным данным.

В Роскомнадзоре изданию подтвердили наличие таких претензий. Соответствующие протоколы были направлены в суд. В случае признания виновными игровым студиям может грозить штраф до 6 млн рублей.

Как рассказали в Semenov & Pevzner, по трём делам из семи решения ещё не вынесены. Это касается Epic Games, Digital Extremes и Embracer Group. В отношении Battlestate Games Limited, Electronic Arts Inc., Take-Two Interactive Software Inc. и NetEase Interactive Entertainment Pte судебные заседания уже прошли в апреле. Всем им назначены штрафы по 2 млн рублей. Адвокат Forward Legal Сергей Кокорев также напомнил, что ещё в 2023 году была оштрафована Blizzard.

Главный риск для игровых студий, по мнению Сергея Кокорева, заключается в том, что Роскомнадзор может перейти от штрафов к требованиям устранить нарушения. В этом случае, как считает источник издания на игровом рынке, возможны более жёсткие меры. Если дело дойдёт до блокировок, нормальный игровой процесс может оказаться невозможен даже с VPN — это показал пример Roblox, заблокированного регулятором в декабре 2025 года. В таком сценарии на рынке могут остаться в основном российские и китайские игры.

Впрочем, независимый эксперт игрового рынка Константин Говорун напомнил, что практически все зарубежные игровые компании уже свернули деятельность в России. При этом, по его оценке, пользовательская база игр этих разработчиков в стране составляет около 30 млн человек.

Продюсер студии Owlcat Games Максим Фомичев отмечает, что российские пользователи уже научились обходить ограничения, в том числе покупая игры через посредников. Поэтому, по его мнению, даже в случае полной блокировки для российских игроков может измениться не так много.

RSS: Новости на портале Anti-Malware.ru