All’interno del Google Play Store, che dovrebbe teoricamente essere un luogo sicuro per le app da installare su smartphone o tablet, si sono nascosti alcuni problemi piuttosto seri che hanno finito con il riguardare milioni di utenti Android in tutto il mondo.
Due applicazioni sviluppate dalla stessa software house hanno infatti esposto dati personali sensibili, alimentando specifici interrogativi sulla sicurezza delle app che scarichiamo ogni giorno sui nostri smartphone o tablet.
Segui TuttoAndroid su Google Discover
La prima app: immagini e video di oltre mezzo milione di utenti
La prima applicazione incriminata si chiama Video AI Art Generator & Maker ed è stata installata più di 500.000 volte, raccogliendo peraltro oltre 11.000 recensioni. Stando a quanto riportato da Forbes, questa app avrebbe esposto circa 1,5 milioni di immagini, più di 385.000 video e milioni di file generati con intelligenza artificiale dagli utenti. In totale, si parla di oltre 12 terabyte di dati multimediali resi accessibili a chiunque, senza alcuna necessità di autenticazione.
Il motivo tecnico alla base di questa falla è la configurazione errata di un bucket su Google Cloud Storage: uno spazio di archiviazione cloud che, invece di essere protetto, era aperto al pubblico.
Il bucket ha accumulato ogni file caricato dagli utenti fin dal lancio dell’app, avvenuto il 13 giugno 2023, arrivando a contenere oltre 8 milioni di file multimediali. Dopo le segnalazioni, Google avrebbe rimosso l’app dalla visibilità del Play Store.
La seconda app: dati di identità da 26 Paesi nel mirino
Se il caso della prima app è già preoccupante, quello della seconda è decisamente più grave. Si tratta di IDMerit, sviluppata dalla stessa azienda (Codeway) e specializzata nella verifica dell’identità degli utenti. L’app tratta quelli che vengono chiamati dati KYC, Know Your Customer, informazioni che banche, istituti finanziari e aziende sono legalmente tenute a raccogliere per verificare l’identità dei propri clienti e valutarne il profilo di rischio.
I dati esposti da IDMerit appartenevano a persone residenti negli Stati Uniti e in altri 25 Paesi tra cui Germania, Francia, Cina e Brasile. Il pacchetto di informazioni trafugabili ha incluso nomi e cognomi completi, indirizzi di residenza, codici postali, date di nascita, numeri di documenti d’identità nazionali, numeri di telefono, generi, indirizzi e-mail e metadati relativi agli operatori telefonici. Dati che, nelle mani sbagliate, possono essere utilizzati per furti di identità, frodi finanziarie e molto altro.
Il problema è l’hardcoding secrets
Purtroppo, questi episodi non sembrano essere casi isolati. I ricercatori di Cybernews hanno infatti analizzato centinaia di app presenti sul Play Store e hanno scoperto che il 72% di esse presentava vulnerabilità simili. Hanno in particolar modo sottolineato che la tecnica incriminata è quella conosciuta come hardcoding secrets, una pratica pericolosa che consiste nell’incorporare direttamente nel codice sorgente dell’applicazione informazioni sensibili come password e chiavi di cifratura, invece di gestirle in modo sicuro e separato.
In tutto ciò, il rischio concreto e verificato è che bot automatici, scansionando repository pubblici come GitHub, riescano a individuare e compromettere una chiave hardcoded in pochi secondi da quando viene resa pubblica. La buona notizia è che Codeway è riuscita a mettere in sicurezza i dati esposti da IDMerit a partire dal 3 febbraio scorso.
Come proteggersi dalle app pericolose?
Di fronte a uno scenario simile, è lecito chiedersi che cosa si possa fare concretamente per tutelarsi.
Per fortuna, esistono alcune precauzioni pratiche che possono ridurre significativamente il rischio. Prima di installare un’app, vale la pena esaminare il portfolio dello sviluppatore: se propone decine di applicazioni molto simili tra loro, è probabile che privilegi la quantità rispetto alla qualità e alle buone pratiche di sicurezza. Meglio invece affidarsi a sviluppatori che hanno ottenuto il badge di sviluppatore verificato da Google.
Attenzione anche ai segnali che l’app stessa può mandare una volta installata: uno smartphone che si surriscalda e consuma batteria anche quando l’applicazione è chiusa è un campanello d’allarme. Stesso discorso per le offerte di abbonamenti a vita a prezzi stracciati, spesso usate come esca.
Infine, ricordiamo che Google mette a disposizione uno strumento integrato chiamato Play Protect, accessibile direttamente dallo Store toccando l’icona del profilo in alto a destra e selezionando la voce apposita: il tool esegue una scansione delle app installate e segnala eventuali minacce. Usarlo periodicamente è una buona abitudine che non costa nulla.