1
• Слышали про приложение, которое платит пользователям за запись их телефонных звонков для дальнейшего обучения ИИ? Приложение называется Neon Mobile и совсем недавно оно находилось в топе американского App Store в категории "социальные сети". Эта новость вчера была опубликована во многих ТГ каналах и медиа ресурсах. Так вот, всё дело в том, что в этом приложении нашли критическую уязвимость, которая позволяла получить доступ к чужим разговорам, стенограммам и номерам телефонов. Удивлены?
• Специалисты TechCrunch создали учётную запись пользователя и воспользовались Burp Suite (мультитул для проведения аудита безопасности веб-приложений), что позволило им понять, как работает Neon, например, как оно взаимодействует со своими внутренними серверами. После нескольких звонков приложение выдало список последних вызовов и сумму дохода за каждый. Однако, благодаря Burp Suite, специалисты нашли текстовую расшифровку звонка и веб-адрес аудиофайлов, к которым мог получить доступ любой желающий при наличии ссылки.
• В одном случае в TechCrunch обнаружили, что серверы Neon могли собирать данные о последних звонках, совершённых пользователями приложения, а также предоставлять общедоступные веб-ссылки на необработанные аудиофайлы и текст расшифровки разговора. Аналогичным образом, серверы можно было использовать для раскрытия последних записей звонков любого из пользователей. Эти метаданные содержали номер телефона самого юзера и номер телефона вызываемого абонента, время звонка, его продолжительность и сумму дохода за каждый.
• Основатель сервиса Алекс Киам после уведомления об утечке отключил приложение и сообщил пользователям, что оно будет недоступно «для повышения безопасности»:
«Конфиденциальность ваших данных — наш главный приоритет, и мы хотим обеспечить их полную безопасность даже в период быстрого роста. В связи с этим мы временно отключаем приложение, чтобы обеспечить дополнительные уровни безопасности».
• Однако основатель не уточнил, проходило ли приложение проверку безопасности перед запуском. Он также не ответил, есть ли у компании технические средства, такие как логи, чтобы определить, обнаружил ли кто-то ещё уязвимость и были ли украдены пользовательские данные.
• Кстати, приложение платит пользователям 45 центов за минуту разговора (не более $30 в день). Именно столько стоят ваши данные...
➡ https://techcrunch.com/neon
#Новости