Theo Mashable, các nhà nghiên cứu tại Appthority, công ty bảo mật điện thoại, đã quét và phân tích qua những ứng dụng Android và iOS trên điện thoại – đang sử dụng Firebase để lưu trữ thông tin người dùng.
Nếu bạn chưa biết, Firebase là nền tảng lưu trữ đám mây phổ biến dành cho ứng dụng điện thoại và web. Google đã mua lại Firebase vào năm 2014, nên một số lượng lớn lập trình viên Android giỏi nhất đang là người dùng của nền tảng này.
Trong báo cáo, Appthority xem xét hơn 2.7 triệu ứng dụng điện thoại và phát hiện 27.227 ứng dụng Android cùng 1.275 ứng dụng iOS đang dùng dịch vụ lưu trữ của Firebase.
Điều đáng nói là có 3.046 trong những ứng dụng đó (2.446 ứng dụng Android) lưu tập tin trên 2.271 hệ thống lưu trữ không bảo mật, bất cứ ai cũng dễ dàng truy cập vào.
Cụ thể dạng dữ liệu gì đang bị ‘phơi bày’ ra cho cả thế giới? Dường như các ứng dụng nói trên đã là lộ: 2.6 triệu ID và mật khẩu người dùng ở dạng tập tin văn bản, 25 triệu bản ghi địa điểm GPS, 50 ngàn thông báo tài chính được thực hiện trong ứng dụng, và hơn 4.5 triệu token người dùng trên mạng xã hội.
Ngoài ra còn phải kể đến 4 triệu thông tin bảo vệ sức khỏe (Protect Health Information – PHI), chứa các đoạn chat riêng tư và bản kê đơn thuốc.
Hơn 50 ngàn thông báo/hóa đơn tài chính trong ứng dụng có thể đã bị lộ. Ảnh: Square.
Tổng cộng hơn 100 triệu bản ghi cá nhân với tổng dung lượng hơn 113 GB dữ liệu đã có khả năng bị truy cập từ bên ngoài. Người dùng đã tải những ứng dụng Android bị ảnh hưởng này hơn 620 triệu lần từ Google Play Store.
Dữ liệu cá nhân nói trên dễ dàng bị xâm nhập như thế nào? Theo báo cáo, hệ thống backend của Firebase vốn không được bảo vệ bởi tường lửa hay hệ thống xác thực nào cả.
Để truy cập vào các nội dung hớ hênh này, kẻ xấu chỉ cần thêm “/.json” và tên cơ sở lưu trữ trống vào phía sau đường link dẫn tới máy chủ, ví dụ như “https://’tên-ứng-dụng’.firebaseio.com/.json”.
Nhóm nghiên cứu đã liên hệ với Google trước khi công bố sự việc. Họ cũng cung cấp cho công ty danh sách ứng dụng bảo mật kém, song song với việc liên hệ trực tiếp lập trình viên của chúng.
Mặc dù danh sách không được công bố chính thức, họ cho biết chúng chủ yếu nằm trong nhóm ứng dụng nhắn tin, sức khỏe, tài chính và du lịch. Những công ty hay lập trình viên của ứng dụng được nhắc đến đang có trụ sở trên khắp thế giới.
Sự cố này cùng vô số trường hợp khác tiếp tục cho thấy các công ty đang lưu giữ dữ liệu riêng tư, cá nhân của người vẫn còn phải xử lý nhiều vấn đề hơn.
Đại diện Google cho biết vào tháng 12 năm ngoái, họ đã gửi email thông báo đến các dự án có nền tảng bảo mật kém, và hướng dẫn họ thiết lập chế độ bảo mật. Việc dữ liệu dễ bị xâm nhập là do lập trình viên đã chủ ý tắt chế độ này. Firebase mặc định bật lớp bảo mật.
