Приложения Baidu из Google Play допускают утечку приватных данных
В нескольких приложениях для платформы Android китайского поискового гиганта Baidu, исследователи из калифорнийской фирмы Unit 42 обнаружили утечку информации, которая позволяет следить за пользователем, даже если он сменит мобильный телефон.
Такие приложения, как Baidu Search Box и Baidu Maps, были оперативно удалены из Google Play, но прежде они уже были загружены миллионы раз и продолжают работать на огромном количестве Android-смартфонов, подвергая риску их владельцев.
Unit 42 сообщает, что в число данных, скомпрометированных мобильными приложениями Baidu, входят: модель телефона; разрешение экрана; физический (MAC) адрес устройства; провайдер сотовой связи; тип сети (Wi-Fi, 2G, 3G, 4G, 5G); идентификатор Android; международные идентификаторы мобильного абонента (IMSI) и мобильного оборудования (IMEI). Хотя часть этой информации, например разрешение экрана, довольно безвредна, такие данные, как IMSI, могут использоваться для идентификации и отслеживания пользователя, даже если он сменит телефон с сохранением номера.
Помимо слежения, злоумышленники с помощью данных, предоставленных им приложениями Baidu, могут обеспечить пользователям и более серьёзные неприятности. В частности, они могут использовать IMEI, чтобы заявить о краже телефона, что заставит оператора связи заблокировать его доступ к сети. Кроме того, согласно Unit 42, хакеры могут воспользоваться этой утечкой для перехвата телефонных звонков или текстовых сообщений.
«Хотя это не является явным нарушением политики Google в отношении приложений Android, сбор идентификаторов, таких как IMSI или MAC-адрес, не рекомендуется в соответствии с рекомендациями по использованию Android», — пояснили исследователи.
Это не первый громкий инцидент с утечкой данных по вине Baidu. В 2016 г. эксперты из Citizen Lab университета Торонто (Канада) обнаружили уязвимости в коде инструментария этой компании, используемого для разработки браузеров и приложений для Android и Windows. Эти недоработки приводили к передаче незашифрованных сведений о результатах поиска и GPS-координатах, и открывали возможность доступа к другой информации через установку фейковых обновлений.