Через неправильно налаштовані серверні модулі Firebase стався витік даних мільйонів користувачів, у результаті чого паролі простого тексту стали більш доступними для загального перегляду.
Через неправильну конфігурацію стався витік даних мільйонів користувачів Firebase згідно зі звітом від Appthority. Близько 113 ГБ даних у 2271 базі даних були оприлюднені через неправильне налаштування. Firebase – це пропозиція Google Backend-as-a-Service, яка, як повідомляється, є найшвидше зростаючий SDK у 2017 році. Сервіс користується величезною популярністю серед провідних розробників Android. Він забезпечує хмарний обмін повідомленнями, push-сповіщення, бази даних, аналітику, рекламу та багато іншого, що може використовуватися розробниками, і все це працює на високопродуктивних серверах Google. Однак, схоже, що багато розробників зловживають цим.
Згідно зі звітом, починаючи з січня 2018 року дослідники сканували мобільні додатки, які використовують Firebase для своїх внутрішніх функцій. Після сканування трохи більше 2,7 мільйонів додатків для iOS і Android вони виявили, що близько 28 тисяч із них використовують Firebase. З цих додатків близько 3000 зливали свої дані в загальнодоступну базу даних, яку можна було знайти шляхом моніторингу зв’язку програми з сервером. Більше того, загальна кількість завантажень цих 3000 додатків перевищила 620 мільйонів, що свідчить про те, що деякі дуже резонансні додатки також є можливими порушниками. Типи даних, які витік, наведено нижче.
- 2,6 мільйона відкритих паролів і ідентифікаторів користувачів
- Понад 4 мільйони записів PHI (захищена медична інформація) (повідомлення в чаті та відомості про рецепти)
- 25 мільйонів записів розташування GPS
- 50 тисяч фінансових записів, включаючи банківські, платіжні та біткойн-транзакції
- Понад 4,5 мільйона маркерів користувачів Facebook, LinkedIn, Firebase і корпоративних сховищ даних
Наразі неможливо визначити, чи стався також витік ваших даних, але завжди безпечніше припустити найгірше, тому ви повинні діяти відповідно. Appthority стверджує, що вони повідомили Google перед публікацією звіту, надавши список постраждалих програм разом із посиланнями на загальнодоступні бази даних.
Ми можемо лише сподіватися, що список додатків буде опубліковано пізніше, оскільки зараз користувачі не знають, чи доступна їх інформація для загального перегляду чи ні. Незважаючи на те, що дані заслуговують на довіру, очі як Google, так і дослідників побачили ці дані. Ми рекомендуємо змінити ваші паролі як запобіжний захід, доки ми не отримаємо більше інформації.
Джерело: Appthority
Через: Bleeping Computer