Buzz
Firebase, một dịch vụ Backend-as-a-Service (BaaS) của Google, lưu trữ một bộ sưu tập đa dạng các dịch vụ cho nhà phát triển di động để tạo ra ứng dụng trên cả thiết bị di động và web.
Thông tin nhạy cảm rò rỉ từ hàng nghìn ứng dụng Android và iOS
Dịch vụ Firebase được ưa chuộng trong cộng đồng nhà phát triển Android hàng đầu, hỗ trợ gửi tin nhắn qua đám mây, quản lý cơ sở dữ liệu, phân tích, quảng cáo và nhiều backend và API khác mà nhà phát triển có thể tích hợp dễ dàng vào dự án để nâng cao hiệu suất ứng dụng.
Appthority kiểm tra hơn 2.7 triệu ứng dụng di động
Đầu tháng 1 năm nay, nhóm nghiên cứu của Appthority đã tiến hành kiểm tra hơn 2.7 triệu ứng dụng di động sử dụng Firebase để lưu trữ cơ sở dữ liệu người dùng, phân tích mẫu giao tiếp của ứng dụng đối với các yêu cầu được thực hiện trong miền Firebase.
Nhóm nghiên cứu phát hiện rằng những ứng dụng cụ thể kết nối với URL JSON Firebase khi được truy cập trực tiếp sẽ cho phép bên thứ ba có thể xem tất cả dữ liệu ứng dụng một cách trái phép.
Sau khi kiểm tra hơn 2.7 triệu ứng dụng Android và iOS, các nhà nghiên cứu phát hiện 28,502 ứng dụng di động (bao gồm 27,227 ứng dụng Android và 1,275 ứng dụng iOS) kết nối và lưu trữ dữ liệu trong cơ sở dữ liệu Firebase.
Trong số ứng dụng này, có 3,046 ứng dụng (trong đó có 2,446 ứng dụng Android và 600 ứng dụng iOS) lưu trữ dữ liệu trong 2,271 cơ sở dữ liệu Firebase cấu hình sai, mở cửa cho bất kỳ ai muốn xem dữ liệu của các ứng dụng.
Tổng cộng, cơ sở dữ liệu Firebase đã phơi nhiễm hơn 100 triệu bản ghi dữ liệu người dùng. Thông tin dữ liệu rò rỉ lên đến 113GB, bao gồm:
+ 2.6 triệu mật khẩu người dùng được lưu trữ dưới dạng văn bản thuần túy và ID người dùng.
+ 4 triệu bản ghi thông tin sức khỏe cá nhân (PHI).
+ 25 triệu bản ghi vị trí GPS.
+ 50 nghìn hồ sơ tài chính, bao gồm thông tin giao dịch ngân hàng, thanh toán và giao dịch Bitcoin.
+ 4.5 triệu dữ liệu từ Facebook, LinkedIn, Firebase và mã token.
Theo Appthority, ứng dụng Android đang rò rỉ dữ liệu trên Google Play Store đã đạt con số hơn 620 triệu lượt tải về, điều này có nghĩa là một số ứng dụng phổ biến đang chạy trên backend có dữ liệu bị rò rỉ.
Google đã được thông báo về vấn đề
Appthority nhấn mạnh rằng họ đã thông báo vấn đề này cho Google trước khi công bố và cung cấp danh sách các ứng dụng cũng như máy chủ cơ sở dữ liệu Firebase bị ảnh hưởng.
Đây không phải là lần đầu tiên Appthority phát hiện backend trên máy chủ đang phơi nhiễm dữ liệu người dùng quan trọng. Trong báo cáo HospitalGown năm trước, họ tiết lộ hơn 1,000 ứng dụng phơi nhiễm 43TB dữ liệu người dùng qua MongoDB, Redis, CouchDB, Elasticsearch và backend trên máy chủ MySQL.
Hãng bảo mật cũng phát hiện rằng một số phát triển đã để lại thông tin API trong hàng trăm ứng dụng sử dụng dịch vụ Twilio, gây rò rỉ thông tin ghi chú cuộc gọi và tin nhắn SMS của người dùng.
Để bảo vệ thiết bị, hãy ngay lúc này tải ứng dụng diệt virus phù hợp với hệ điều hành bạn đang sử dụng.
Xem và tải ứng dụng diệt virus cho Android tại đây
Xem và tải ứng dụng diệt virus cho iPhone tại đây
Spectre và Meltdown là hai lỗ hổng lớn nhất hiện nay khiến thiết bị dễ bị tấn công. Tuy nhiên, sự thay đổi trong WebAssembly có thể giảm nhẹ ảnh hưởng của các cuộc tấn công Meltdown và Spectre đối với người dùng.
