Slabosti u popularnoj aplikaciji za upoznavanje OkCupid mogu omogućiti hakerima da čitaju poruke korisnika
Mobilni telefoni, 30.07.2020, 09:00 AM

Istraživači kompanije Check Point upozorili su na nekoliko bezbednosnih problema na popularnoj platformi za online upoznavanje OkCupid, koji mogu omogućiti hakerima da ukradu privatne podatke korisnika.
OkCupid je od svog predstavljanja stekao više od 50 miliona registrovanih korisnika. Kao jedna od najpopularnijih opcija za upoznavanje preko interneta, pored rivala kao što su Tinder, Plenty of Fish, eHarmony, Match i Grindr, ova platforma organizuje otprilike 50000 “online izlazaka” potencijalnih parova nedeljno.
U vremenu kada mere koje se primenjuju zbog pandemije korona virusa otežavaju upoznavanje novih ljudi u kafićima ili drugom javnom prostoru, mnogi od nas su se okrenuli internet druženjima i virtuelnim susretima kao alternativi.
Aplikacije za upoznavanje zabeležile su porast broja korisnika što je za posledicu imalo uvođenje novih funkcija, poput video ćaskanja. To je dovelo do promene načina rada ovakvih platformi, a OkCupid nije bio izuzetak.
Povećanje korisničke baze je dodatni rizik za lične podatke korisnika.
Istraživači Check Pointa otkrili su niz ranjivosti u OkCupidu koje bi mogle dovesti do izlaganja osetljivih podataka o profilu u aplikaciji OkCupid, preuzimanja korisničkih naloga koji se onda mogu koristiti za obavljanje različitih radnji bez dozvole korisnika, krađe tokena za potvrdu identiteta korisnika, ID-jeva i email adresa.
Aplikacija koju su testirali istraživači Check Pointa je OkCupid za Android, verzija 40.3.1 na Android 6.0.1.
Istraživači su otkrili “deep link” funkcionalnost, koja može omogućiti napadačima da pošalju zlonamerne linkove za otvaranje mobilne aplikacije.
Istraživači su otkrili greške u kodiranju u funkciji korisničkih podešavanja aplikacije.
Napadač može da pošalje HTTP GET zahtev i XSS payload sa svog servera, što bi omogućilo izvršenje JavaScripta preko WebViewa.
Ako žrtva klikne na napadačev link koji može biti poslat preko aplikacije ili objavljen na nekom forumu, podaci o profilu, podaci korisnika koje su naveli kada su kreirali profil, postavke, email, i tokeni za autentifikaciju mogli bi biti kompromitovani i poslati na napadačev server.
Kako se otkrivene ranjivosti mogu koristiti za krađu ID i tokena, napadač može izvesti neke radnje u ime korisnika, poput slanja poruka. Međutim, potpuno preuzimanje naloga nije moguće zbog postojeće zaštite kolačića.
Iako krađa informacija koje korisnici daju aplikaciji ne izgleda kao veliki problem, lični podataci koje bi napadači mogli prikupiti mogli bi se upotrebiti za socijalni inženjering, što bi dovelo do daleko štetnijih posledica.
“Aplikacija i platforma stvoreni su za upoznavanje ljudi, ali naravno tamo gde ljudi idu, kriminalci će ih pratiti, tražeći način za laku krađu”, rekli su istraživači.
Check Point je obavestio OkCupid o svojim otkrićima i ti problemi su sada rešeni. OkCupid kaže da ove slabosti nisu imale uticaja ni na jednog korisnika i da su problem rešili u roku od 48 sati.
Iako ove ranjivosti po svemu sudeći nisu iskorišćene, ovo je podsetilo na slučaj Ashley Madisona, sajta za preljubnike koji je hakovan 2015. godine, kada su informacije o 32 miliona korisnika objavljene na mračnom vebu. Taj napad prouzrokovao je mnogo problema korisnicima sajta jer su usledile ucene i pokušaji iznude pod pretnjom da će prijateljima i porodicama korisnika sajta otkriti da su varali partnere.

Izdvojeno
Na brojnim hakerskim forumima prodaje se novi bankarski trojanac za Android

Na hakerskim forumima prodaje se novi bankarski trojanac za Android pod nazivom Nexus koji cilja 450 finansijskih aplikacija. Analitičari italijanske... Dalje
Googleovi istraživači upozoravaju na opasne ranjivosti Samsungovih telefona koje hakeri mogu daljinski i neprimetno hakovati

Project Zero, Googleov tim koji se bavi bezbednosnim istraživanjima, otkrio je ranjivosti u Samsung modemima za uređaje poput Pixel 6, Pixel 7 i Gal... Dalje
Zašto bi umesto dvofaktorne autentifikacije sa SMS-om trebalo da koristite pouzdanu aplikaciju

Dvofaktorska autentifikacija (2FA) postala je imperativ u današnjem digitalnom svetu, pošto su kriminalci naučili da kompromituju skoro svaku lozin... Dalje
Bankovni trojanac za Android Xenomorph se vratio sa novom verzijom, i sada je opasniji nego ikada pre

Istraživači holandske kompanije ThreatFabric primetili su novu verziju bankovnog trojanca za Android Xenomorph, koju su njeni tvorci, Hadoken Securi... Dalje
Aplikacija kineskog modnog brenda Shein uhvaćena kako na Androidu radi nešto što ne bi smela

Shein, kineski modni brend, ponovo se našao pod lupom, nakon što je otkriveno da stara verzija njegove mobilne aplikacije povremeno pristupa sadrža... Dalje
Pratite nas
Nagrade