Dusmīgie putni dalās jūsu datos tālu un plaši

Saskaņā ar FireEye padziļinātu analīzi Angry Birds ir diezgan pļāpīgs ar spēlētāju personisko informāciju.

Pakalpojumā Google Play pieejamā Angry Birds Android versija, kas pēdējo reizi atjaunināta 4. martā, ar vairākām pusēm dalās ar personisko informāciju, piemēram, vecumu, dzimumu un adresi, kā arī informāciju par ierīci, liecina FireEye pētnieku Džimija Su, Jinjian Zhai un Tao bloga ieraksts. Vei. Lietotāji, kuri spēlē spēli bez Rovio konta, arī apmainās ar informāciju par savām ierīcēm, to neapzinoties, teikts paziņojumā.

Šī nav pirmā reize, kad tiek parādīts, ka Rovio, ļoti populāro lietotņu Angry Birds lietotņu izstrādātāji, dalās lietotāju informācijā pārāk plaši. Janvārī The New York Times, ProPublica un Guardian kopīgais ziņojums atklāja, ka valdības aģentūras, piemēram, Nacionālās drošības aģentūra, varētu iegūt spēli un citas līdzīgas mobilās lietotnes, lai savāktu lietotāju datus. Kaut arī iepriekšējie ziņojumi bija koncentrējušies uz vecākām spēles versijām vai "speciālajiem izdevumiem", FireEye komanda atklāja, ka plaša koplietošana notiek vairākās versijās, ieskaitot jaunāko "klasisko" versiju Angry Birds 4.1.0.

Līdz šim vairāk nekā 2 miljardi lejupielādēto Angry Birds un vairāk nekā ceturtdaļmiljardu lietotāju, kas izveido Rovio kontus, "šī koplietošana ietekmē daudzas, daudzas ierīces", rakstīja pētnieki.

Kāda veida koplietošana?

Rovio mudina lietotājus izveidot lietotāju kontus, lai saglabātu punktus, spēles objektus un spētu apmainīt ierīces spēles vidū. Reģistrējoties tiek lūgts dzimšanas datums, dzimums un e-pasts. Spēlētāji var arī abonēt biļetenu, kurā tiek lūgts norādīt e-pastu, vārdu, dzīvesvietas valsti un dzimumu. Informācija tiek apkopota vienā profilā, saskaņojot e-pasta adresi.

FireEye noteica, ka dati plūst no lietotnes Angry Birds, Angry Birds Cloud un reklāmas starpniecības platformas un bibliotēkas Burstly. Trešo pušu reklāmas tīkli Jumptap un Millennial Media iegūst informāciju no Burstly, lai rādītu atlasītas reklāmas. Angry Birds izmanto arī Skyrocket, Burstly lietotņu monetizācijas pakalpojumu.

Burstly saviem datiem apkopo unikālu klienta identifikatoru un padara to pieejamu vairākiem citiem reklāmas tīkliem, ne tikai Jumptap un Millenial Media. Kopā ar personas datiem tika nosūtīta arī informācija par ierīci (ieskaitot Android un ierīces identifikatorus), MAC un IP adreses, kā arī aparatūras izgatavotājs un modelis. Šobrīd lietotājam nav ne jausmas, ne arī kontroles pār to, kam ir šī informācija, atzīmēja FireEye.

Pētnieki bija nobažījušies arī par faktu, ka informācija tika pārsūtīta, izmantojot HTTP, vienkāršā tekstā vai "viegli atšifrētos formātos", teikts paziņojumā.

Necaurlaidīgas, necaurlaidīgas lietotnes

Rovio privātuma politikā skaidri teikts, ka uzņēmums apkopos un augšupielādēs informāciju trešo pušu mārketinga vienībām, tāpēc tas ir pārklājis savas bāzes. Tomēr, ja tiek pārsūtīta personiskā informācija, tai nekad nevajadzētu būt vienkāršā tekstā. Nav attaisnojuma.

Apsardzes firmas arvien vairāk uztraucas par informācijas daudzumu, ko mobilās lietotnes pārsūta uz reklāmdevēju tīkliem. Mēs regulāri runājam par necaurlaidīgām lietotnēm kā daļu no mobilās draudu pirmdienas. BitDefender's Clueful informē jūs, kad tiek koplietota personiskā informācija, un viaForensics nesen uzsāka viaProtect, kas ļauj jums padziļināti apskatīt tikai to, kur tieši dati atrodas.

Bet tas ir patiešām labs piemērs tam, cik daudz datu var savākt un kā tie vienkārši izplatās ārpus vienas lietotnes. Spēlētāji var domāt, ka dati tiek izmantoti tikai mērķētām reklāmām spēles laikā, taču, kā izriet no šīs analīzes, kad dati ir Burstly serveros, tos var izmantot ikviens, pat ārpus spēles. Kamēr FireEye koncentrējās uz Angry Birds, ir pārliecināts, ka citas spēles un lietotnes izmanto līdzīgu taktiku, lai dalītos ar informāciju par lietotāju. Atcerieties, ka tas, ka kaut kas ir bez maksas, nenozīmē, ka nemaksājat.