Додаток-шпигун Catwatchful злив дані 62 тисяч користувачів

Розробник мобільного додатку, який рекламується як засіб для прихованого моніторингу всіх активностей на Android-пристроях, нещодавно допустив витік електронних адрес, паролів у відкритому вигляді та інших чутливих даних, що належать 62 тисячам користувачів. Про це повідомив дослідник безпеки Ерік Дейгл.

Уразливість у системі безпеки додатку під назвою Catwatchful дозволила дослідникові завантажити величезний масив конфіденційних даних, які належали власникам облікових записів, що використовували цей прихований додаток для стеження за телефонами. Витік став можливим через вразливість SQL-ін'єкції, яка дозволяла будь-кому, хто її експлуатував, отримати доступ до облікових записів та всіх даних, що зберігалися в них.

Творці Catwatchful особливо підкреслюють прихованість та безпеку свого додатку. Хоча розробники стверджують, що додаток є законним та призначений для батьків, які контролюють онлайн-активність своїх дітей, акцент на прихованості викликає занепокоєння щодо можливого використання людьми з іншими намірами.

На сторінці, що рекламує додаток, зазначається, що Catwatchful є невидимим та не може бути виявлений. Його неможливо видалити, зупинити чи закрити. Тільки користувач може отримати доступ до інформації, яку він збирає. Розробники також заявляють, що користувачі можуть стежити за телефоном без відома його власника за допомогою програмного забезпечення для моніторингу мобільних телефонів. Додаток працює в прихованому та непомітному режимі.

Дейгл підтвердив, що додаток справді залишається прихованим на пристроях, завантажуючи контент у реальному часі, який потім можна переглядати через веб-панель керування. Однак додаток має приховану лазівку, яка дозволяє його видалити, коли користувач вводить цифри 543 210 на клавіатурі телефону, повідомило видання TechCrunch у середу.

Дослідник також зазначив, що інші дані, які потрапили у витік, дозволили йому ідентифікувати операторів додатку та деякі онлайн-сервіси, на які вони покладаються. Дейгл написав, що злив бази даних сервісу для стеження дозволяє робити багато цікавих речей, зокрема ідентифікувати тих, хто ним керує, та повідомляти про це різним хмарним провайдерам, які стверджують, що заблокують такі сервіси.

За інформацією TechCrunch, веб-сервіс, який розміщував інфраструктуру додатку, припинив надання послуг після звернення видання. Згодом хостинг-провайдер HostGator почав розміщувати цю інфраструктуру. Представники HostGator не відповіли на запитання про те, чи порушує Catwatchful умови надання послуг хостингу.

Компанія Google додала нові засоби захисту для Google Play Protect, свого інструменту безпеки для виявлення шкідливих додатків на Android-телефонах, повідомляє TechCrunch. Ці засоби захисту виявлятимуть шпигунське програмне забезпечення Catwatchful або його інсталятор на телефоні користувача.

Цей інцидент підкреслює серйозні проблеми безпеки, пов'язані з так званим stalkerware — програмним забезпеченням, призначеним для прихованого стеження за діями користувачів мобільних пристроїв. Такі додатки часто рекламуються як засоби батьківського контролю, але можуть використовуватися для незаконного стеження за дорослими людьми без їхньої згоди.

Витік даних з Catwatchful демонструє, наскільки вразливими можуть бути такі сервіси та які ризики вони створюють не лише для тих, за ким стежать, але й для самих користувачів програми. Конфіденційна інформація, включаючи паролі у відкритому вигляді, може потрапити до рук зловмисників та бути використана для подальших кіберзлочинів.

Експерти з кібербезпеки регулярно попереджають про небезпеки використання шпигунського програмного забезпечення. Окрім етичних та правових питань, такі додатки часто мають серйозні вразливості в системі безпеки, що робить їх привабливими цілями для хакерів. Користувачі, які встановлюють такі програми, ризикують не лише порушити приватність інших людей, але й самі стати жертвами кіберзлочинців.

Цей випадок також привертає увагу до необхідності посилення контролю з боку платформ розповсюдження мобільних додатків. Хоча Google Play має політику проти шпигунського програмного забезпечення, такі додатки все ще знаходять способи обходити перевірки та потрапляти до користувачів через альтернативні канали розповсюдження.