Δελτίο Τύπου:
Η Check Point Research (CPR) ανακάλυψε ευαίσθητα δεδομένα σε εφαρμογές κινητής τηλεφωνίας απροστάτευτα και διαθέσιμα σε οποιονδήποτε διαθέτει ένα πρόγραμμα περιήγησης. Ψάχνοντας στο "VirusTotal", η CPR βρήκε 2.113 εφαρμογές για κινητά, των οποίων οι βάσεις δεδομένων στο cloudήταν απροστάτευτες και εκτεθειμένες, όλες κατά τη διάρκεια μιας τρίμηνης ερευνητικής μελέτης. Οι εφαρμογές για κινητά κυμαίνονταν από 10.000+ λήψεις έως 10.000.000+ λήψεις.

Τα ευαίσθητα δεδομένα που βρέθηκαν εκτεθειμένα από την CPR περιλάμβαναν: προσωπικές οικογενειακές φωτογραφίες, αναγνωριστικά κουπονιών σε μια εφαρμογή υγειονομικής περίθαλψης, δεδομένα από πλατφόρμες ανταλλαγής κρυπτονομισμάτων και πολλά άλλα. Η CPR παρέχει διάφορα παραδείγματα εφαρμογών των οποίων τα δεδομένα βρέθηκαν εκτεθειμένα. Σε ένα από αυτά, η CPR βρήκε εκτεθειμένα περισσότερα από 50.000 ιδιωτικά μηνύματα από μια δημοφιλή εφαρμογή γνωριμιών.

Η CPR προειδοποιεί για το πόσο εύκολα μπορεί να συμβεί παραβίαση δεδομένων μέσω της μεθόδου που περιγράφεται και τι μπορούν να κάνουν οι προγραμματιστές ασφάλειας cloud για να προστατεύσουν καλύτερα τις εφαρμογές τους. Προκειμένου να αποφευχθεί η εκμετάλλευση, η CPR δεν θα παραθέσει προς το παρόν τα ονόματα των εφαρμογών κινητής τηλεφωνίας που εμπλέκονται στην έρευνα.

- Μια εφαρμογή άφησε εκτεθειμένα 130.000 ονόματα χρηστών και μηνύματα ηλεκτρονικού ταχυδρομείου, μια άλλη 80.000 ονόματα εταιρειών, διευθύνσεις και υπόλοιπα τραπεζικών λογαριασμών
- Η CPR εκτιμά ότι οι βάσεις δεδομένων χιλιάδων εφαρμογών μένουν εκτεθειμένες κάθε μήνα

Η Check Point Research (CPR) διαπίστωσε ότι τα ευαίσθητα δεδομένα μιας σειράς εφαρμογών για κινητά ήταν εκτεθειμένα και διαθέσιμα σε οποιονδήποτε με ένα πρόγραμμα περιήγησης. Κάνοντας αναζήτηση στο "VirusTotal", η CPR βρήκε 2113 εφαρμογές για κινητά, των οποίων οι βάσεις δεδομένων ήταν απροστάτευτες και εκτεθειμένες κατά τη διάρκεια μιας τρίμηνης ερευνητικής μελέτης. Το VirusTotal, θυγατρική της Google, είναι ένα δωρεάν διαδικτυακό εργαλείο που αναλύει αρχεία και διευθύνσεις URL για την ανίχνευση ιών, trojans και άλλων μορφών κακόβουλου λογισμικού.

Οι εφαρμογές για κινητά κυμαίνονταν από 10.000+ λήψεις έως 10.000.000+ λήψεις. Τα ευαίσθητα δεδομένα που βρέθηκαν εκτεθειμένα από τη CPR περιλάμβαναν: μηνύματα συνομιλίας σε δημοφιλείς εφαρμογές γνωριμιών, προσωπικές οικογενειακές φωτογραφίες, αναγνωριστικά κουπονιών σε μια εφαρμογή υγειονομικής περίθαλψης, δεδομένα από πλατφόρμες ανταλλαγής κρυπτονομισμάτων και πολλά άλλα. Η CPR προειδοποιεί το κοινό για το πόσο εύκολο είναι να εντοπιστούν σύνολα δεδομένων και κρίσιμοι πόροι εφαρμογών με την αναζήτηση σε δημόσια αποθετήρια, προτρέποντας τον κλάδο να ασκήσει καλύτερες πρακτικές ασφάλειας στο cloud.

Μεθοδολογία Πρόσβασης
Για την πρόσβαση σε εκτεθειμένες βάσεις δεδομένων, η μεθοδολογία είναι απλή:
1. Αναζητήστε εφαρμογές για κινητά που επικοινωνούν με υπηρεσίες cloud στο VirusTotal
2. Αρχειοθετήστε αυτές που έχουν άμεση πρόσβαση σε δεδομένα
3. Περιηγηθείτε στο σύνδεσμο που λάβατε

Σχόλιο: Lotem Finkelsteen, Head of Threat Intelligence and Research στην Check Point Software:
"Σε αυτή την έρευνα, δείχνουμε πόσο εύκολο είναι να εντοπίσουμε σύνολα δεδομένων και κρίσιμους πόρους που είναι ανοιχτοί στο σύννεφο σε οποιονδήποτε μπορεί απλά να αποκτήσει πρόσβαση σε αυτά με μια περιήγηση. Μοιραζόμαστε μια απλή μέθοδο για το πώς μπορούν ενδεχομένως να το κάνουν οι χάκερ. Η μεθοδολογία περιλαμβάνει την αναζήτηση σε δημόσια κέντρα αποθήκευσης αρχείων, όπως το VirusTotal, για εφαρμογές κινητών τηλεφώνων που χρησιμοποιούν υπηρεσίες cloud. Ένας χάκερ μπορεί να ζητήσει από το VirusTotal την πλήρη διαδρομή προς το cloud backend μιας εφαρμογής κινητής τηλεφωνίας. Εμείς οι ίδιοι μοιραζόμαστε μερικά παραδείγματα για το τι θα μπορούσαμε να βρούμε εκεί. Όλα όσα βρήκαμε είναι διαθέσιμα σε οποιονδήποτε. Τελικά, με αυτή την έρευνα αποδεικνύουμε πόσο εύκολο είναι να συμβεί μια παραβίαση ή εκμετάλλευση δεδομένων. Ο όγκος των δεδομένων που βρίσκεται ανοιχτά και είναι διαθέσιμος σε οποιονδήποτε στο cloud είναι τρελός. Είναι πολύ πιο εύκολο να παραβιαστεί από ό,τι νομίζουμε".

Πώς να μείνετε ασφαλείς:
Ακολουθούν ορισμένες συμβουλές για να διασφαλίσετε ότι οι διάφορες υπηρεσίες cloudείναι ασφαλείς:

Amazon Web Services
AWS CloudGuard S3 Bucket Security
Specific rule: "Ensure S3 buckets are not publicly accessible" Rule ID: D9.AWS.NET.06
Συγκεκριμένος κανόνας: "Βεβαιωθείτε ότι τα buckets S3 δεν είναι προσβάσιμοι από το ευρύ κοινό". Rule ID: D9.AWS.NET.06
Google Cloud Platform
Ensure that Cloud Storage DB is not anonymously or publicly accessible Rule ID: D9.GCP.IAM.09
Βεβαιωθείτε ότι η βάση δεδομένων αποθήκευσης cloud δεν είναι ανώνυμη ή δημόσια προσβάσιμη Rule ID: D9.GCP.IAM.09
Microsoft Azure
Ensure default network access rule for Storage Accounts is set to deny Rule ID: D9.AZU.NET.24
Βεβαιωθείτε ότι ο προεπιλεγμένος κανόνας πρόσβασης στο δίκτυο για τους λογαριασμούς αποθήκευσης έχει οριστεί σε deny Rule ID D9.AZU.NET.24