Inilantad ng Nfl.com android app ang data ng profile ng gumagamit sa mga umaatake

Ang mga bookies ng Vegas ay maaaring mapanood ang Seattle Seahawks at New England Patriots na malapit na ito sa Super Bowl Linggo, ngunit ang mga black hat hackers ay maaaring mas interesado sa pagkolekta ng personal na data mula sa mga aparato ng Android ng mga tagahanga, binalaan ng isang mobile security firm ngayon.

Ang mga magsasalakay ay maaaring maglunsad ng pag-atake ng man-in-the-middle upang pagsamantalahan ang isang malubhang kahinaan sa sikat na NFL Mobile app na naglalantad ng sensitibong personal na data ng mga gumagamit na nakaimbak sa mga aparato ng Android, sinabi ni Wandera sa isang advisory. Sinabi ng isang tagapagsalita ng kumpanya sa SecurityWatch ang problema ay nananatiling hindi natapos.

"Ito ay ironic na tulad ng isang quarterback na mahina sa isang interception, ang NFL app ay mahina sa isang pag-atake ng isang tao na naglalagay ng data ng mga gumagamit na nasa panganib ng interception ng mga hacker, " sabi ni Eldar Tuvey, ang CEO ng Wandera.

Hindi Nai-encrypt na Calls Leak Info ng Gumagamit

Hinihiling ng app ang gumagamit na mag-sign in nang ligtas sa mga kredensyal ng NFL.com, ngunit pagkatapos nito ay inihayag ang username at password sa isang pangalawang hindi naka-encrypt na tawag sa API, natagpuan ng mga mananaliksik ng Wandera. Ang username at email address ay naka-imbak din sa isang hindi naka-encrypt na cookie kaagad pagkatapos mag-login at sa kasunod na mga tawag sa nfl.com. Ang gumagamit ay maaaring gumamit ng mga kredensyal upang ma-access ang buong profile ng gumagamit sa nfl.com. Ang pahina ng profile ay hindi naka-encrypt, na nangangahulugang ang mga umaatake ay maaaring gumamit ng mga pag-atake ng man-in-the-middle upang matakpan ang data mula sa pahina.

"Ang panganib ay partikular na mataas sa oras na ito, kapag ang mga gumagamit ay malamang na ma-access ang app nangunguna sa pinakamalaking laro ng panahon sa pagitan ng New England Patriots at Seattle Seahawks, " sinabi ng kumpanya sa pagpapayo nito.

Hindi malinaw sa puntong ito kung ang naka-save na impormasyon sa credit card ay makikita ng nag-aatake, dahil hindi tinangka ng security team na bumili ng anumang paninda na may brand na NFL mula sa site sa panahon ng pagsusuri na ito. Hindi rin malinaw kung ang parehong kapintasan ay umiiral sa iba pang mga apps ng NFL, tulad ng NFL Now at NFL Fantasy Football.

Sa ngayon, makuha ang iyong Super Bowl na ayusin sa pamamagitan ng website, hindi ang NFL app. Huwag ilagay ang iyong sarili sa peligro.

Mga panganib sa Mga gumagamit Gamit ang App

Ang muling paggamit ng password ay isang malaking problema pa rin, kaya ang mga gumagamit na may parehong kumbinasyon ng email / password para sa iba pang mga account ay maaaring makahanap ng mga kompromiso na iyon, binalaan ni Wandera. Ang impormasyon sa profile tulad ng date-of-birth, buong pangalan, email at postal address, trabaho, TV provider, kasarian, at numero ng telepono ay maaaring magamit para sa pagnanakaw ng pagkakakilanlan, phishing, at social engineering.

"Ang Petsa ng kapanganakan, pangalan, address at numero ng telepono ay ang eksaktong mga bloke ng gusali na kinakailangan upang simulan ang isang matagumpay na pagnanakaw ng pagkakakilanlan mula sa mga tagahanga ng NFL, " sabi ni Tuvey.

Kung gumagamit ka ng parehong password sa ibang mga site, lalo na ang mga sensitibong site tulad ng banking at email, baguhin agad ito.

Ang mga kriminal ay naka-target sa mga propesyonal na site ng sports at apps sa nakaraan. Ang mga tagahanga ng NFL ay na-trick ng pekeng mga pahina ng Facebook sa pag-click sa mga nakakahamak na link sa mga site na naglilingkod sa Zeus malware noong 2013. Nagsisilbi ang pekeng sivirus sa MLB.com ng hindi sinasadya na mga bisita noong 2012. Ang isang pekeng mobile app na nagkukumpara bilang MADDEN NFL 12 na mga ugat na laro, naharang ang mga mensahe ng SMS, at mga konektadong aparato sa isang botnet, natagpuan ng mga mananaliksik sa McAfee noong 2012.

Gusto din ng mga cyber attackers na mai-target ang mga tanyag na kaganapan at mga bagong item upang maikalat ang malware at magsagawa ng pag-atake sa phishing. Sinasamantala ng mga pag-atake na ito ang mga taong naghahanap para sa pinakabagong impormasyon at mga update. Kinilala ng OpenDNS ang isang website na sinusubukang gayahin ang BBC News at pagsilbi ng maling impormasyon tungkol sa mga pagbaril sa Charlie Hebdo mas maaga sa buwang ito. Mayroong maraming mga kampanya sa spam at malware na naka-target sa Olympics sa London at Sochi pati na rin ang nakaraang mga laro ng Super Bowl. Ang mga website na kabilang sa Miami Dolphins ay nagsilbi ng malware nang hindi bababa sa isang linggo bago ang Super Bowl noong 2007.