Phát hiện hai bộ công cụ phát triển phần mềm của bên thứ ba được tích hợp bởi hơn hàng trăm ngàn ứng dụng Android truy cập trái phép vào dữ liệu của người dùng được liên kết với các tài khoản mạng xã hội được kết nối của họ.
Trong một bài viết trên blog được đăng ngày hôm qua, Twitter đã tiết lộ rằng SDK do OneAudience phát triển có chứa thành phần vi phạm quyền riêng tư có thể đã chuyển một số dữ liệu cá nhân của người dùng đến máy chủ OneAudience.
Sau tiết lộ của Twitter, hôm nay Facebook đã đưa ra một tuyên bố tiết lộ rằng SDK từ một công ty khác, Mobiburn, cũng đang bị điều tra về hoạt động tương tự có thể khiến người dùng kết nối với một số ứng dụng Android nhất định cho các công ty thu thập dữ liệu.
Cả OneAudience và Mobiburn đều là các dịch vụ kiếm tiền dữ liệu trả tiền cho các nhà phát triển để tích hợp SDK của họ vào các ứng dụng, sau đó thu thập dữ liệu hành vi của người dùng và sau đó sử dụng nó với các nhà quảng cáo để tiếp thị mục tiêu.
Nói chung, bộ công cụ phát triển phần mềm của bên thứ ba được sử dụng cho mục đích quảng cáo không được phép truy cập vào thông tin nhận dạng cá nhân, mật khẩu tài khoản hoặc mã thông báo truy cập bí mật được tạo trong quá trình ‘Đăng nhập bằng Facebook’ hoặc ‘Đăng nhập bằng Twitter’.
Tuy nhiên, theo báo cáo, cả hai SDK độc hại đều có khả năng lén lút và thu thập trái phép dữ liệu cá nhân này mà chỉ có các nhà phát triển ứng dụng được ủy quyền truy cập từ tài khoản Twitter hoặc Facebook của bạn.
“Vấn đề này không phải do lỗ hổng trong phần mềm của Twitter, mà là do sự thiếu cách ly giữa các SDK trong một ứng dụng”, Twitter làm rõ trong khi tiết lộ về sự cố thu thập dữ liệu.
Vì vậy, phạm vi dữ liệu được hiển thị dựa trên mức độ truy cập mà người dùng bị ảnh hưởng đã cung cấp trong khi kết nối tài khoản truyền thông xã hội của họ với các ứng dụng dễ bị tấn công.
Dữ liệu này thường bao gồm địa chỉ email, tên người dùng, ảnh, tweet, cũng như mã thông báo truy cập bí mật có thể đã bị lạm dụng để kiểm soát các tài khoản truyền thông xã hội được kết nối của bạn.
“Mặc dù chúng tôi không có bằng chứng nào cho thấy việc này được sử dụng để kiểm soát tài khoản Twitter, nhưng có khả năng một người có thể làm như vậy”, Twitter cho biết.
“Chúng tôi có bằng chứng cho thấy SDK này đã được sử dụng để truy cập dữ liệu cá nhân của ít nhất một số chủ tài khoản Twitter sử dụng Android; tuy nhiên, chúng tôi không có bằng chứng nào cho thấy phiên bản iOS của SDK độc hại này nhắm đến những người sử dụng Twitter trên iOS.”
Twitter cũng đã thông báo cho Google và Apple về SDK độc hại và khuyến cáo người dùng chỉ cần tránh tải xuống ứng dụng từ các cửa hàng ứng dụng của bên thứ ba và định kỳ xem xét các ứng dụng được ủy quyền.
Trong khi đó, trong một tuyên bố cung cấp cho CNBC, Facebook xác nhận rằng họ đã gỡ bỏ các ứng dụng khỏi nền tảng của họ vì vi phạm chính sách và đưa ra các lá thư chấm dứt và ngừng hoạt động đối với cả One Audience và Mobiburn.
“Các nhà nghiên cứu bảo mật gần đây đã thông báo cho chúng tôi về hai tập đoàn xấu là One Audience và Mobiburn, những người đang trả tiền cho các nhà phát triển để sử dụng bộ công cụ phát triển phần mềm độc hại (SDK) trong một số ứng dụng có sẵn trong các cửa hàng ứng dụng phổ biến”, Facebook cho biết.
Để chịu trách nhiệm cho việc này, OneAudience đã tắt SDK của mình và cũng đưa ra một tuyên bố rằng “dữ liệu này không bao giờ có ý định thu thập, không bao giờ được thêm vào cơ sở dữ liệu của chúng tôi và không bao giờ được sử dụng.
“Chúng tôi chủ động cập nhật SDK của mình để đảm bảo rằng thông tin này không thể được thu thập vào ngày 13 tháng 11 năm 2019. Sau đó, chúng tôi đã đẩy phiên bản SDK mới cho các đối tác nhà phát triển của mình và yêu cầu họ cập nhật lên phiên bản mới này”, OneAudience nói.
Cả hai công ty mạng xã hội hiện đang có kế hoạch thông báo sớm cho người dùng của họ, những người có thể đã bị ảnh hưởng bởi vấn đề này.
