Apple hat jahrelang an dem Image eines Unternehmens gearbeitet, das Es stellt die Privatsphäre an erste Stelle von fast allem anderen.Insbesondere im Vergleich zu anderen großen Technologieunternehmen. Doch selbst die strengen Kontrollen des App Stores verhindern nicht, dass Apps mit gravierenden Sicherheitslücken durchrutschen und letztendlich die Daten der Nutzer gefährden.
Eine kürzlich durchgeführte Cybersicherheitsuntersuchung hat ein Problem aufgedeckt, das folgende Bereiche betrifft: Dutzende Apps für iPhone und iPad verfügbarDiese Tools, von denen viele sehr beliebt sind, sollen angeblich sensible Benutzerinformationen ohne deren Wissen preisgeben: von Namen und E-Mail-Adressen bis hin zu kompletten Verläufen privater Konversationen.
Die Arbeit wird geleitet von Sicherheitsforschungslabor CovertLabswelches ein spezielles Projekt zur Verfolgung dieser Lecks ins Leben gerufen hat. Die Initiative wurde unter dem Namen Firehound angekĂĽndigt, einem Repository, das Scannt, lokalisiert und indexiert Apps, die personenbezogene Daten offenlegen. ĂĽber Cloud-Dienste oder schlecht geschĂĽtzte Datenbanken.
Laut den ersten veröffentlichten Ergebnissen hat Firehound Folgendes identifiziert: fast 200 Apps auf iOS mit solchen Mängeln. Zum Zeitpunkt der Veröffentlichung der Informationen gaben 196 der 198 analysierten Anwendungen auf die eine oder andere Weise Nutzerdaten preis, was einen Eindruck vom Ausmaß des Problems vermittelt.
Das Projekt hat sich vor allem über soziale Medien verbreitet, wo verschiedene Sicherheitsforscher Beispiele und Zahlen geteilt haben. Einer der aktivsten Teilnehmer ist auf X (ehemals Twitter) bekannt als @Harris 0nbehauptet, gefunden zu haben Sicherheitslücken, die riesige Datenbanken zugänglich machen für jeden, der über ausreichend technische Kenntnisse verfügt, um danach zu suchen.
Firehound: So funktioniert der Leak-Tracker im App Store
Firehound präsentiert sich als eine Art von Datenbank anfälliger AnwendungenZiel ist es, Apps zu identifizieren, die mit Benutzerinformationen unsachgemäß umgehen, entweder weil sie Cloud-Speichersysteme ohne angemessene Sicherheitsmaßnahmen verwenden oder weil sie interne Dateien offenlegen, die absolut privat bleiben sollten.
Das Repository bietet freier Zugang zu einigen der Ergebnisse ihrer Analysen, beschränkt sich jedoch auf die sensiblen Details. Um genauere Informationen über die Leaks einzusehen, ist eine Registrierung auf der Plattform erforderlich, was die Verantwortlichen als eine Art der... um zu verhindern, dass jemand diese Schwachstellen ausnutzt während sie die sensibelsten Daten überprüfen und unkenntlich machen.
Laut ihren Angaben enthalten einige der Berichte direkte Links zu ungeschützten Datenbanken, Nachrichtensätzen oder E-Mail-Listen, die in den falschen Händen für bösartige Kampagnen missbraucht werden könnten. Phishing, Erpressung oder IdentitätsdiebstahlDaher zeigt Firehound öffentlich nur unvollständige und allgemeine Informationen über die einzelnen betroffenen Anwendungen an.
@Harris0n selbst deutet an, dass in bestimmten Fällen Alle von Nutzern über bestimmte Apps versendeten Nachrichten werden ungeschützt gespeichert.Mit anderen Worten: Jeder, der weiß, wo er suchen muss, könnte ganze Konversationen lesen, die Benutzer als privat gekennzeichnet hatten, und diese könnten auch mit Daten wie ihrer E-Mail-Adresse oder sogar ihrer Telefonnummer verknüpft sein.
Diese Situation verdeutlicht eine seit Jahren bekannte Schwäche: Obwohl Apple Apps vor der Veröffentlichung überprüft, Es ist nicht immer in der Lage, unsichere Konfigurationen auf externen Servern zu erkennen. Die Anwendungen nutzen diese Speichermedien, um Informationen zu speichern. Und genau dort treten die meisten dieser Datenlecks auf.
Fast 200 iOS-Apps mit offengelegten persönlichen Daten
Die Verantwortlichen der Feuerwehrhunde erklären, dass sie bisher Folgendes festgestellt haben: rund 200 iOS-Apps mit SicherheitsproblemenHierbei handelt es sich nicht um kleine, unbekannte Projekte, sondern um Tools mit einer beträchtlichen Anzahl an Downloads, von denen viele der künstlichen Intelligenz und Cloud-Diensten gewidmet sind.
In den sozialen Medien wies einer der beteiligten Forscher darauf hin, dass dies erwartungsgemäß Am stärksten betroffen sind Apps, die mit KI-Diensten zusammenhängen.Diese Anwendungen verarbeiten typischerweise große Datenmengen, da sie Konversationen, Anfragen, Korrekturen und andere Arten von Inhalten speichern, die Benutzer teilen und dabei erwarten, dass sie privat bleiben.
Eines der markantesten Beispiele, die im Projekt angeführt werden, ist die App Chatten & KI fragenLaut den von Firehound gesammelten Daten hätte diese Anwendung über 406 Millionen Datensätze aufgedecktDiese Informationen betreffen mehr als 18 Millionen Nutzer. Sie umfassen Nachrichten, Anfragen und andere Daten, die ohne angemessene Sicherheitsvorkehrungen gespeichert wurden.
Das Problem, so betonen die Forscher, liegt nicht nur im Informationsvolumen, sondern auch in der Qualität und Sensibilität dieser Daten. Es geht nicht um einfache technische Kennungen, sondern um … Vollständige Konversationen, verknüpft mit E-Mail-Konten und TelefonnummernDadurch lässt sich jeder Chatverlauf relativ einfach einer bestimmten Person zuordnen.
In diesem Szenario könnte ein Angreifer nicht nur private Nachrichten lesen, sondern auch Vergleichen Sie diese Daten mit anderen im Internet verfügbaren Informationen. um Opferprofile zu erstellen, personalisierte Betrugsmaschen gezielt einzusetzen oder sogar Erpressungsmaterial zu generieren, wenn in den durchgesickerten Gesprächen besonders sensible Inhalte entdeckt werden.
Besonders sensible Daten: psychische Gesundheit, Emotionen und ärztliche Beratungen
Einer der Aspekte, der Forschern am meisten Sorgen bereitet, ist die Art der durchgesickerten Inhalte. Viele Menschen nutzen KI-basierte Anwendungen, um um über emotionale Probleme, psychische Gesundheit, Beziehungsprobleme oder sogar medizinische Fragen zu sprechenDies sind Angelegenheiten, die naturgemäß mit größter Vertraulichkeit behandelt werden sollten.
Wenn diese Datenaustausche auf falsch konfigurierten Servern gespeichert sind und darüber hinaus mit … verknüpft sind Kontaktinformationen wie E-Mail-Adresse oder HandynummerDie Privatsphäre der Nutzer ist ernsthaft gefährdet. Die persönlichsten Details ihres Lebens könnten in die Hände Dritter gelangen, mit unvorhersehbaren Folgen.
Forscher @Harris0n nannte genau dieses Beispiel: Menschen, die sich auf eine KI-App verlassen, um ihrem Ärger Luft zu machen Angstzustände, Depressionen, familiäre Probleme oder medizinische SymptomeDas gesamte Material würde ohne ausreichenden Schutz gespeichert und darauf warten, dass jemand auf die ungeschützte Datenbank stößt und beschließt, sie auszunutzen.
Diese Art von Datenleck stellt nicht nur ein Cybersicherheitsrisiko dar, sondern auch ein soziales und psychologisches Problem. Zu wissen, dass Ihre Möglicherweise kursieren online intimere Gespräche. Es kann Misstrauen gegenüber der Technologie hervorrufen und die Angst davor verstärken, in heiklen Momenten um Hilfe zu bitten oder digitale Unterstützungsdienste in Anspruch zu nehmen.
Aus europäischer Sicht fällt diese Situation auch unter den Bereich der Einhaltung gesetzlicher Bestimmungen. Die Datenschutz-Grundverordnung (DSGVO) verpflichtet Unternehmen zur Umsetzung von [fehlende Information]. dem Risikoniveau angemessene SicherheitsmaßnahmenDies ist schwer zu erreichen, wenn eine App ihre Datenbanken öffentlich über das Internet zugänglich macht.
Welche Arten von Apps geben Informationen preis und warum geschieht das?
Die Liste von Firehound zeigt, dass das Problem nicht auf einen einzelnen Sektor beschränkt ist. Zu den betroffenen Anwendungen gehören... Unterhaltungstools, Bildungsplattformen, gesundheitsbezogene Dienstleistungen und professionelle Design- oder Produktivitäts-Apps. Mit anderen Worten: Es handelt sich um ein übergreifendes Phänomen, das mehrere Nischen innerhalb des App-Store-Ökosystems berührt.
Die meisten dieser Fehler haben gemeinsam, dass die Apps Folgendes verwenden: falsch konfigurierte Datenbanken oder Cloud-SpeichersystemeIn vielen Fällen nutzen Entwickler externe Dienste zum Speichern von Informationen (wie Chatverläufen, Benutzerprofilen oder gemeinsam genutzten Dateien) und aktivieren die Authentifizierungs- oder Verschlüsselungsoptionen nicht ordnungsgemäß.
Das praktische Ergebnis ist, dass diese Datenbanken bestehen bleiben Zugänglich ohne die Notwendigkeit erweiterter AnmeldeinformationenManchmal sind diese Ressourcen sogar ungeschützt. Jeder, der die Adresse kennt oder bestimmte technische Suchanfragen durchführt, kann sie relativ einfach finden, herunterladen oder durchsuchen.
Ein weiteres häufiges Problem ist die Verwendung von Zugriffsschlüssel sind im Code der App eingebettet.Firehound hilft auch bei der Erkennung solcher Angriffe. Wenn ein Angreifer den Code analysiert und diese Zugangsdaten findet, kann er sie nutzen, um sich direkt mit dem Cloud-Dienst der Anwendung zu verbinden und alle dort gespeicherten Daten zu extrahieren.
Diese Art von Fehler hängt üblicherweise mit Folgendem zusammen: mangelhafte Entwicklungspraktiken und fehlende SicherheitsüberprüfungenDies ist höchstwahrscheinlich auf böswillige Absicht seitens der App-Entwickler zurückzuführen. Für den Nutzer bleibt die Konsequenz jedoch dieselbe: Seine privaten Daten werden ohne klare Benachrichtigung oder ausdrückliche Zustimmung offengelegt.
Das passiert nicht nur im App Store, sondern hat auch direkte Auswirkungen auf Apples Image.
Die Verantwortlichen von Firehound bestehen darauf, dass diese Art von Fehlern Es ist nicht exklusiv im Apple Store erhältlich.Tatsächlich wurden sehr ähnliche Probleme im Google Play Store und anderen Software-Katalogen schon seit Jahren festgestellt. Immer wenn eine App auf schlecht gesicherte Cloud-Dienste angewiesen ist, besteht die Gefahr von Datenlecks.
Dennoch hat die Tatsache, dass diese Sicherheitslücken im App Store auftreten, eine besondere Bedeutung, da Apple seit langem beteuert, dass seine Ein geschlossenes und überwachtes Ökosystem ist sicherer. als die Konkurrenz. Jedes Mal, wenn ein solcher Fall auftritt, entbrennt die Debatte darüber, inwieweit diese vorherige Kontrolle ausreicht, um die persönlichen Daten der Nutzer tatsächlich zu schützen.
In Europa liegt der Fokus auf solchen Vorfällen aufgrund des regulatorischen Drucks zudem stärker. Datenschutzbehörden in verschiedenen Ländern, darunter Spanien, können sowohl von Entwicklern als auch in einigen Fällen von den großen Plattformen Erklärungen verlangen. Die betroffenen Anwendungen werden von Millionen von Menschen genutzt..
Apple reagiert üblicherweise, indem es Apps aus dem Store entfernt, die nachweislich gegen die Datenschutzrichtlinien verstoßen oder ein eindeutiges Risiko darstellen. Der Prozess zwischen der Veröffentlichung einer Anwendung, der Erkennung des Problems und ihrer endgültigen Entfernung ist jedoch nicht geradlinig. Möglicherweise ist die Zeitspanne so lang, dass die Daten bereits kopiert wurden. durch Dritte.
Letztendlich erinnert uns die Studie von Firehound daran, dass selbst wenn große Technologieunternehmen ihre Überprüfungsprozesse verstärken, Lecks können in praktisch jedem App-Katalog auftreten.Das schwächste Glied ist oft die Art und Weise, wie die Entwickler die Server verwalten, auf denen die Informationen gespeichert sind – ein Bereich, über den Apple und andere Giganten weniger direkte Kontrolle haben.
Dieser ganze Fall dient als Weckruf für Nutzer und Entwickler: Einerseits ist es ratsam Überlegen Sie sich gut, welche Daten wir mit Anwendungen oder Funktionen von Drittanbietern teilen, wie zum Beispiel Instagram-Freunde-KartenfunktionInsbesondere Apps, die künstliche Intelligenz nutzen und große Mengen persönlicher Daten speichern, sind gefährdet. Andererseits ist klar, dass Sicherheit nicht mit dem Passieren des App-Store-Filters endet, sondern eine verantwortungsvolle und kontinuierliche Verwaltung der Infrastruktur erfordert, in der die Daten gespeichert werden. Die Kombination aus unabhängigen Projekten wie Firehound, strengen europäischen Vorschriften und einem stärkeren Bewusstsein für Datenschutz kann entscheidend dazu beitragen, dass Millionen von Datensätzen nicht wieder für jedermann zugänglich werden.
