Διαρροή διαπιστευτηρίων log-in και διευθύνσεων ηλεκτρονικού ταχυδρομείου χρηστών κατά τη διάρκεια κλήσεων προς τον τομέα nfl.com, εντοπίστηκε στο NFL Mobile App, που είναι δημοφιλές λόγω του Super Bowl.
Η διαδικασία λαμβάνει χώρα αμέσως μετά την είσοδο του χρήστη στο app με ασφαλή τρόπο, ως αποτέλεσμα ενός δευτερεύοντος, χωρίς κρυπτογράφηση API και ενός cookie.
Η κινητή εφαρμογή έχει σχεδιαστεί για να μεταδίδει στους οπαδούς του ΝFL έκτακτες ειδήσεις, τα highlights και τα αποτελέσματα των παιχνιδιών.
Η εταιρεία mobile data gateway Wandera εντόπισε τα κενά ασφαλείας μέσω των τεχνολογιών σάρωσής της και ανακάλυψε ότι η διαρροή των δεδομένων μπορούν να χρησιμοποιηθούν για την πρόσβαση στο λογαριασμό ΝFL.com. Αυτή η διαδικασία πραγματοποιείται επίσης μέσω ασφαλούς σύνδεσης, το οποίο σημαίνει ότι η κίνηση μπορεί να υποκλαπεί μέσω μιας man-in-the-middle επίθεσης.
Εκτός από το όνομα χρήστη και τον κωδικό πρόσβασης, τα δεδομένα που σχετίζονται με ένα προφίλ στο ΝFL.com περιλαμβάνουν email και ταχυδρομική διεύθυνση, αριθμό τηλεφώνου, επάγγελμα, ημερομηνία γέννησης, καθώς και συνδέσεις με κοινωνικά δίκτυα και πληροφορίες σχετικές με το ΝFL (αγαπημένη ομάδα κλπ) .
Ο Eldar Tuvey, Διευθύνων Σύμβουλος της Wandera, ανέφερε ότι το 23% των πελατών της εταιρείας των ΗΠΑ έχουν τουλάχιστον έναν εργαζόμενο με την ευάλωτη εφαρμογή διαθέσιμη σε προσωπική του συσκευή, και ότι ο ίδιος αναμένει ότι θα αυξηθεί ο αριθμός των εγκαταστάσεων της εφαρμογής καθώς πλησιάζει το Super Bowl.
“Είναι ειρωνικό το γεγονός ότι ακριβώς όπως ένα quarterback είναι ευάλωτο σε υποκλοπή, η εφαρμογή ΝFL είναι ευάλωτη σε μια επίθεση man-in-the-middle που θέτει τα δεδομένα των χρηστών σε κίνδυνο υποκλοπής από χάκερς”, πρόσθεσε ο Tuvey.
Όσον αφορά τις χρηματοοικονομικές πληροφορίες, η αναθεώρηση της Wondera δεν περιλαμβάνει την αγορά εμπορευμάτων και έτσι δεν έχει αποκαλυφθεί αν αυτό το είδος των πληροφοριών είναι επίσης εκτεθειμένο λόγω των μη ασφαλούς κίνησης από την εφαρμογή για κινητά.
«Δεν έχουμε ακόμη ελέγξει και τις άλλες ΝFL εφαρμογές, όπως το “NFL Now”, το “NFL Fantasy Footbal” κλπ. Δυνητικά αυτές διαθέτουν παρόμοιες ευπάθειες”, δήλωσε ο Tuvey την Τρίτη.
