Androidクーポンアプリが個人情報をすべての人に漏洩する

John Hodgmanを言い換えると、必要以上の情報を収集するAndroid向けのアプリをいくつか見てきました。 また、その情報を不適切に処理し、簡単に抽出または傍受できるようにするいくつかのアプリも検討しました。 今週、Appthorityはその両方を行うアプリを紹介し、連絡先の他のサーバーにも情報を送信します。

クーポンアプリ

Appthorityは、現在Google PlayにあるThe Coupons Appと呼ばれるアプリにヒントを与えてくれました。これには、レストランからガソリンまで、あらゆるものに関する情報を提供する一連のツールが含まれています。 しかし、彼らの分析で、AppthorityはThe Coupons Appが「暗号化で保護せずにネットワーク上で個人情報を継続的に送信する」ことを発見しました。 これには、デバイスIDまたはIMEI番号、電話番号、メールアドレス、郵便番号、デバイスの正確な位置情報が含まれます。

多くのアプリはこの種の情報を収集します。一部は独自の分析用で、一部はサードパーティの広告ネットワークへの販売用です。 残念ながら、Androidには、アプリがアクセスできる情報を制御する機能はありません。 アプリを最初にダウンロードするとき、許可の警告は1つだけです。 情報を暗号化しないと問題が悪化します。これは、中間者攻撃中にネットワーク上で誰かがそれを盗聴する可能性があるためです。

残念ながら、これはThe Coupons Appの最後の罪ではありません。 「プライベートデータはアプリが使用するサーバーに送信されますが、「Referer」フィールドのプライベート情報も漏えいします」とAppthority氏は言います。目的のWebページに移動します。

「薬局」を検索しており、クーポンアプリが検索結果にAmazonの本の表紙画像を使用しているとします。 アプリがその画像を取得するためにAmazonと通信するとき、交換に多くの個人情報が含まれていました。 ここに強調のために太字のAppthorityの例を示します。 メールアドレスと電話番号がはっきりと見えることに注意してください。

クリックして画像を拡大

「アプリがプライベートデータ（ssl）を使用してサーバーへのリンクを適切に暗号化した場合、リファラーは設定されず、外部のWebサイトに送信されません」 Appthorityは、Coupons Appがこの情報を知らずに他のサーバーに漏えいさせている可能性があることに注意しています。

どうすれば安全を確保できますか？

クーポンアプリは、モバイルセキュリティの最大の問題の1つを強調しています。エンドユーザー（あなた）は、アプリが実行する可能性のある危険なアクティビティを常に把握しているわけではないということです。 The Coupons Appから要求された権限を読んでも、情報を収集している理由や、データが他のサーバーに漏洩している理由はわかりません。

さらに、Androidの制限により、現在の場所など、特定の情報にアクセスできるアプリを制御することはできません。 The Coupons Appの場合、これは単にそれを使用すること、および同様の問題を抱えている他の人があなたの情報を危険にさらすことを意味します。

とりあえず、開発者がこれらのセキュリティ問題を修正するまで、クーポンアプリは避けるべきだと思われます。