מי הפיץ ערכת פיתוח לאנדרואיד שאספה מידע ממיליוני משתמשים?

חוקרי אבטחה איתרו 11 אפליקציות אנדרואיד שאוספות מידע רגיש ממכשירי משתמשים, כולל מספרי טלפון, כתובות מייל ואפילו נתוני העתק-הדבק.

החוקרים, מחברת האבטחה AppCensus, בחנו ערכת פיתוח תוכנה (SDK) הפועלת באפליקציות אנדרואיד, אשר יחד הורדו יותר מ-46 מיליון פעמים מחנות Play של גוגל.

"בכל פעם שמשתמש מעתיק-מדביק משהו, המידע נשמר, וה-SDK המדוברת סרקה והעלתה לשרתים שלה", דיווחה החברה. "מה שמוצג שם הוא נתונים שרירותיים, שיכולים לכלול סיסמאות, למשל, אם בעליו של המכשיר משתמש במנהל סיסמאות".

ה-SDK יכולה גם לאסוף מידע GPS מדויק, יחד עם מספר הטלפון וכתובת האימייל המשויכים למכשיר. בנוסף, היא יכולה לנסות למשוך את כתובת ה-MAC הייחודית לנתב האינטרנט שאליו מחובר הטלפון, ולחשוף דרך נוספת שחושפת את הפעילויות של המשתמש. עם זאת, איסוף הנתונים משתנה בהתאם לאפליקציה שבה היא פועלת.

עקבות ה-SDK הובילו את חברת האבטחה לחברה מסתורית בפנמה בשם Measurement Systems, ששילמה למפתחי אפליקציות אנדרואיד כדי שישלבו אותה באפליקציות שלהם. האתר של החברה מציין כי היא שילמה עד כה 2.1 מיליון דולר לשותפים, וכי אלפי אפליקציות השתמשו עד כה ב-SDK.

בתוך כך, הוול סטריט ג'ורנל דיווח, כי  לחברה הפנמית יש קשרים עם חברת הגנה בווירג'יניה בשם Vostrom Holdings, שמבצעת עבודות מודיעין סייבר עבור סוכנויות ממשלתיות בארה"ב, וציין כי החברה הפנמית אמרה למפתחי האפליקציות שהיא מעוניינת בנתונים בעיקר מהמזרח התיכון, ממרכז ומזרח אירופה ומאסיה" ואף ציטט מסמכים פנימיים של החברה.

בתגובתה, החברה הכחישה את ממצאי העיתון לגבי פעילותה ואף ציינה, כי אין לה קשרים עם חברות הגנה בארה"ב.

11 אפליקציות האנדרואיד שמשתמשות ב-SDK הבעייתי כוללות שתי אפליקציות בנושא הקוראן, סורק ברקוד QR גנרי, אפליקציית "מכ"ם מהירות" ותוכנה להפיכת הטלפון החכם לעכבר.

באוקטובר האחרון דיווחה AppCensus על ממצאיה לגוגל, אשר הסירה מיידית את כל האפליקציות שהכילו את ה-SDK. מאוחר יותר כל 11 האפליקציות הוחזרו לחנות, אך ללא ערכת הפיתוח של החברה הפנמית.

גוגל ציינה בתגובתה לפרסום, כי "כל האפליקציות בחנות Play חייבות לציית למדיניות שלנו, ללא קשר למפתח. כאשר אנו קובעים שאפליקציה מפירה את המדיניות הזו, אנו נוקטים צעדים מתאימים".