I dati degli utenti di 1.000 app su server accessibili a chiunque

Giu 01, 2017 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

La ricerca ha individuato 21.000 server ElasticSearch che non prevedono protezioni o sistemi di autenticazione. Al loro interno ci sono 43 TB di informazioni sensibili.

Come vengono gestite le nostre informazioni personali? Quando si consultano le FAQ di qualsiasi app per smartphone, di solito si ottengono grandi rassicurazioni sul tipo di uso che ne viene fatto e sulla sicurezza “a prova di bomba” delle comunicazioni tra il nostro smartphone e le infrastrutture che gestiscono l’applicazione.

Ma una volta che le informazioni sono state raccolte, che livello di protezione abbiamo? La risposta a questa domanda è contenuta in una ricerca intitolata 2017 Q2 Enterprise Mobile Threat Report (lo si può scaricare da questo link) realizzata da Appthority. Purtroppo, non sono buone notizie.

Il report mette in luce una situazione terrificante. L’analisi dei ricercatori di Appthority, che hanno utilizzato un sistema automatizzato in grado di individuare i server di backend utilizzati dalle app, parla di 43 terabyte di dati personali degli utenti conservati all’interno di vari server (ElasticSearch; MongoDB; Redis; CouchDB; Couchbaseche e MySQL) che non hanno alcun sistema di protezione o autenticazione.

Nella parte più approfondita della ricerca gli analisti si sono concentrati sulla sola piattaforma ElastiSearch, che è tra le più utilizzate dagli sviluppatori di app per le sue caratteristiche che la rendono ideale per trattare i Big Data.

Scandagliando la Rete, Appthority ha individuato la bellezza di 21.000 server ElasticSearch esposti su Internet, i cui dati cioè possono essere consultati senza dover superare strumenti di sicurezza dedicati e nemmeno un sistema di autenticazione.

Insomma: dati accessibili a chiunque. Tra questi i nomi degli utenti, le email, numerose informazioni personali e anche dati di carattere medico-sanitario. Un vero incubo per la privacy.

Comunicazioni sicure e controllate fino al database. Ma una volta lì, i dati sono vulnerabili a qualsiasi tipo di attacco.

Non è la prima volta che ElasticSearch finisce sotto la lente d’ingrandimento da parte dei ricercatori di sicurezza. Lo scorso gennaio, infatti, i server basati sulla piattaforma ElasticSearch sono stati vittima di una campagna di attacchi ransomware su larga scala, che faceva leva proprio sulla scarsa attenzione degli amministratori nei confronti delle procedure di sicurezza.

In quel caso i dati venivano “rapiti” per ottenere un riscatto. Ma il semplice furto di informazioni, viste le desolanti misure di protezione adottate dagli amministratori, potrebbero rappresentare un fenomeno molto più ampio rispetto a quello degli attacchi registrati all’inizio dell’anno.

Ribaltando la prospettiva, Appthority ha individuato ben 1.000 app (nei settori del gaming; viaggi; news; produttività e altro) che utilizzano backend server privi di protezione adeguata. Tra queste anche alcune app che non dovrebbero proprio avere problemi del genere.

Uno dei casi presentati come esempio nella ricerca è quello di Pulse Workspace, un’app utilizzata da aziende e agenzia governative (tra cui una corte di giustizia; una società antivirus; una delle maggiori aziende di telecomunicazioni statunitensi e persino un’azienda che produce missili) che dovrebbe garantire la massima sicurezza nella gestione dei dati su mobile.

Sul sito della società si legge che “Pulse Workspace fornisce un contenitore sicuro per iOS e Android che mette in sicurezza le app necessarie all’azienda, dando al personale una user experience nativa che consente di separare il lavoro dalla vita privata”.

Peccato che, secondo Appthority, il “contenitore sicuro senza compromessi” memorizzerebbe tutti i dati su un server facilmente accessibile dall’esterno.

Dal database, come hanno scoperto i ricercatori di Appthority, era possibile ottenere informazioni sugli utenti come il nome completo; l’indirizzo email; il numero di telefono, la lunghezza delle password; i dati relativi alla data di creazione dell’account; le informazioni riguardanti il dispositivo usato (IMEI, sistema operativo e operatore) e i dati del certificato VPN.

In seguito alla segnalazione da parte dei ricercatori di Appthority, l’infrastruttura di Pulse Workspace è stata messa in sicurezza, ma considerando la vastità di casi individuati nel corso dell’indagine, il problema mantiene caratteristiche preoccupanti.

E considerata la quantità di dati personali che le applicazioni mobile sono in grado di registrare, da oggi ogni volta che utilizziamo un’app non potremo fare a meno di chiederci come diavolo siano gestiti. La risposta, purtroppo, rischia di non piacerci…

Condividi l'articolo