Video: Top 10 Free iOS iPhone/iPad FOOTBALL Games! (Octombrie 2024)
Bookies-urile din Vegas ar putea urmări îndeaproape această duminică de Super Bowl pe Seattle Seahawks și New England Patriots, însă hackerii de pălării negre pot fi mai interesați să colecteze date personale de pe dispozitivele Android ale fanilor, a avertizat astăzi o firmă de securitate mobilă.
Atacatorii ar putea să lanseze atacuri man-in-the-middle pentru a exploata o vulnerabilitate gravă în aplicația populară NFL Mobile care expune datele personale sensibile ale utilizatorilor stocate pe dispozitivele Android, a spus Wandera într-un aviz. Un purtător de cuvânt al companiei a declarat pentru SecurityWatch că problema rămâne nefixată.
"Este ironic că la fel ca un quarterback fiind vulnerabil la o interceptare, aplicația NFL este vulnerabilă la un atac bărbat în mijloc care pune datele utilizatorilor în pericol de interceptare de către hackeri", a spus Eldar Tuvey, CEO al Wandera.
Apelurile necriptate scurg informațiile despre utilizator
Aplicația necesită utilizatorului să se conecteze în siguranță cu datele de acreditare NFL.com, dar va scăpa numele de utilizator și parola într-un apel secundar API necriptat, au descoperit cercetătorii Wandera. Numele de utilizator și adresa de e-mail sunt de asemenea stocate într-un cookie necriptat imediat după conectare și la apelurile ulterioare către nfl.com. Atacatorul poate utiliza datele de acreditare pentru a accesa profilul complet al utilizatorului pe nfl.com. Pagina de profil este necriptată, ceea ce înseamnă că atacatorii pot folosi atacuri om-la-mijloc pentru a intercepta date din pagină.
"Riscul este deosebit de mare în acest moment, când utilizatorii sunt susceptibili să acceseze aplicația înaintea celui mai mare joc al sezonului dintre New England Patriots și Seattle Seahawks", a declarat compania în avizul său.
În acest moment nu este clar dacă informațiile despre cardul de credit salvate ar fi vizibile pentru atacator, deoarece echipa de securitate nu a încercat să achiziționeze nicio marcă NFL de pe site în timpul acestei analize. De asemenea, nu este clar dacă există și același defect în alte aplicații NFL, cum ar fi NFL Now și NFL Fantasy Football.
Deocamdată, faceți rezolvarea Super Bowl prin site-ul web, nu prin aplicația NFL. Nu vă puneți în pericol.
Riscuri pentru utilizatori cu aplicația
Reutilizarea parolelor este încă o mare problemă, astfel încât utilizatorii care au aceeași combinație de e-mail / parolă pentru alte conturi pot găsi acele conturi compromise, a avertizat Wandera. Informații despre profil, cum ar fi data nașterii, numele complet, adresele de e-mail și poștale, ocupația, furnizorul TV, sexul și numărul de telefon pot fi utilizate pentru furtul de identitate, phishing și inginerie socială.
"Data nașterii, numele, adresa și numărul de telefon sunt blocurile exacte necesare pentru a iniția un furt de identitate de succes de la fanii NFL", a spus Tuvey.
Dacă utilizați aceeași parolă pe alte site-uri, în special pe site-uri sensibile, cum ar fi servicii bancare și e-mail, schimbați-le imediat.
În trecut, criminalii au vizat site-uri și aplicații sportive profesionale. Fanii NFL au fost păcăliți de paginile Facebook false în a face clic pe link-uri rău intenționate către site-urile care servesc malware Zeus în 2013. Programe rău intenționate de la MLB.com au servit antivirus fals pentru vizitatori nepricepuți în 2012. O aplicație mobilă falsă care se mascheaza ca dispozitive MADDEN NFL 12 înrădăcinate, au interceptat mesaje SMS și dispozitive conectate la o botnet, cercetătorii McAfee au găsit în 2012.
Atacatorii cibernetici le place să țintească și evenimente populare și articole demne de știri pentru a răspândi malware și a executa atacuri de phishing. Aceste atacuri profită de oamenii care caută cele mai recente informații și actualizări. OpenDNS a identificat un site web care încerca să imite BBC News și care furniza informații false despre filmările de la Charlie Hebdo la începutul acestei luni. Au fost mai multe campanii de spam și malware care vizează Jocurile Olimpice de la Londra și Sochi, precum și jocurile Super Bowl din trecut. Site-urile aparținând delfinilor din Miami au servit malware cu cel puțin o săptămână înainte de Super Bowl în 2007.
