Aplikacje mają ułatwić nam życie i zwiększyć wygodę transakcji. Krokiem naprzód w tym względzie było pojawienie się aplikacji umożliwiających współdzielenie, dzięki którym można w bardziej ekonomiczny sposób korzystać z różnych usług, od dostaw żywności poprzez wspólne przejazdy taksówką i samochodem. Jednak chociaż aplikacje umożliwiające wspólne przejazdy są nieocenione dla tych, którzy mają niewielki budżet, zdejmując z ich użytkowników obowiązek opłat z tytułu posiadania lub utrzymania pojazdu, mogą jednocześnie zwiększyć zagrożenie bezpieczeństwa zarówno dla producentów, jak i użytkowników.

Aby określić rozmiar problemu, badacze z Kaspersky Lab przetestowali 13 aplikacji umożliwiających wspólną jazdę samochodem, rozwijanych przez czołowych producentów z różnych krajów, które – według statystyk Sklepu Play firmy Google – zostały pobrane ponad milion razy. Wykryto, że nie są do końca bezpieczne.

Lista wykrytych luk w zabezpieczeniach obejmuje następujące „grzechy”:

• Brak ochrony przed atakami typu „man-in-the-middle”. W tego rodzaju atakach użytkownik sądzi, że połączył się z legalną stroną internetową, w rzeczywistości jednak ruch jest przekierowywany przez stronę cyberprzestępcy, umożliwiając mu gromadzenie wszelkich danych osobowych wprowadzanych przez ofiarę (login, hasło, PIN, adres, dane karty płatniczej itd.).
• Brak ochrony przed inżynierią wsteczną aplikacji. W efekcie przestępca może dowiedzieć się, jak działa aplikacja, i znaleźć w niej lukę, która pozwoli mu uzyskać dostęp do infrastruktury po stronie serwera.
• Brak technik wykrywania rootowania (uzyskiwania uprawnień administratora na urządzeniu mobilnym). Prawa na poziomie administratora zapewniają szkodliwemu użytkownikowi niemal nieograniczone możliwości, podczas gdy aplikacja staje się bezbronna.
• Brak ochrony przed technikami nakładania się na aplikacje. To pomaga w wyświetlaniu okien phishingowych przez szkodliwe aplikacje oraz kradzieży danych uwierzytelniających użytkowników.
• Mniej niż połowa aplikacji wymaga silnych haseł od użytkowników, co oznacza, że przestępcy mogą zaatakować ofiarę za pośrednictwem prostego scenariusza ataku siłowego.

W przypadku wykorzystania takich luk w zabezpieczeniach cyberprzestępca może dyskretnie przejąć kontrolę nad aplikacją i wykorzystać ją do szkodliwych celów – od darmowych przejażdżek i szpiegowania użytkowników po kradzież pojazdu i jego danych, a nawet kradzież danych osobowych użytkowników oraz sprzedaż ich dla zysku na czarnym rynku. W ten sposób przestępcy mogliby np. wykonywać nielegalne i niebezpieczne manewry na drogach, podszywając się pod inne osoby.

Porady bezpieczeństwa

Badacze zalecają użytkownikom aplikacji umożliwiających współdzielenie przejazdów podjęcie następujących działań w celu zabezpieczenia swoich samochodów i prywatnych danych przed ewentualnymi atakami:

• Nie „rootuj” swojego urządzenia z systemem Android, ponieważ w ten sposób zapewnisz szkodliwym aplikacjom niemal nieograniczone możliwości.
• Zadbaj o to, aby wersja systemu operacyjnego Twojego urządzenia była aktualna w celu ograniczenia luk w zabezpieczeniach oprogramowania i zmniejszenia ryzyka ataku.
• Zainstaluj sprawdzone rozwiązanie bezpieczeństwa w celu ochrony swojego urządzenia przed cyberatakami.

Pełny raport z badania Kaspersky Lab poświęconego błędom w zabezpieczeniach aplikacji pozwalających na współdzielenie przejazdów jest dostępny na tej stronie.

Źródło: Kaspersky Lab