Приложение Go SMS Pro из Google Play отправляет не только сообщение, но и файлы, хранящиеся на компьютере. Соблюдайте осторожность

На чтение 2 мин.

Приложение Go SMS Pro из Google Play используется в качестве платформы для общения между людьми. Человек загружает медиаресурсы, отправляя их другим пользователям, и не задумывается о безопасности личных данных. Во время тестирования программы стало известно, что загрузка открывает возможности воспользоваться конфиденциальными данными, содержащимися в телефоне.

Проблемы с уязвимостью телефона

Приложение Go SMS Pro пользуется огромным спросом. Оно было скачано свыше 100 млн раз. Но не всем известно, что у программы имеются серьезные недоработки, ведущие к уязвимости телефона. Доступ к контенту третьим лицам открывается после отправки различных файлов в Интернет. Это не вирус, недоработка не влияет на работоспособность гаджета и не крадет данные самостоятельно. Разработчик был проинформирован о проблеме, но не исправил уязвимость.

Чем это опасно?

При отправке файла другому пользователю контент загружается на сервер платформы. Конечному пользователю отправляется не сам файл, а ссылка на него. В самой программе Go SMS Pro ссылка трансформируется в визуальный контент, например, в картинку. Ссылка же остается храниться в Интернете. Доступ к ней не зашифрован, отсутствует возможность аутентификации. Это позволяет абсолютно любому человеку воспользоваться конфиденциальной информацией по данной ссылке.

Уязвимость кроется именно в ссылке. Во время генерации используется предсказуемая комбинация символов, по которой можно отыскать контент в Интернете. Видоизменяя параметры адреса, можно отследить, каким контентом делится пользователь через приложение. Попытки связаться с разработчиком не привели к успеху.

По двум электронным адресам, указанным в Play Store, были отправлены письма с возможностью отслеживания судьбы сообщения через программу. Одно письмо так и не было доставлено в связи с переполнением почтового ящика разработчика. Второе сообщение не было отрыто. Разработчик не отреагировал также на замечания пользователей по поводу уязвимости контента, описанной в комментариях к приложению.