Китайский поисковик Baidu поставил под угрозу персональные данные миллионов пользователей. К такому выводу пришли исследователи компании Palo Alto Networks.
Как указывают эксперты, они обнаружили несколько приложений для Android в Google Play, которые способствовали утечке данных пользователей, включая Baidu App и Baidu Maps. Эти сервисы насчитывают 6 млн загрузок только в США; всего в мире у них 1,4 млрд скачиваний
Приложения собирали и отправляли на серверы в Китае следующие данные: модель телефона, разрешение экрана, MAC-адрес, имя оператора связи, IMSI (уникальный идентификатор абонента сотовой сети) и IMEI (международный идентификатор мобильного оборудования). Хотя часть этой информации безобидна, такие данные, как IMSI, можно использовать для идентификации и отслеживания человека, даже если он начнёт использовать новый телефон.
Как поясняют в Palo Alto Networks, IMSI связан с SIM-картой, которую можно передавать между устройствами. Приложения Android, которые собирают IMSI, могут следить за пользователями в течение срока службы нескольких устройств. Например, если пользователь поставит свою SIM-карту на новый телефон и установит приложение, которое ранее собирало и передавало номер IMSI, разработчик приложения может идентифицировать этого пользователя. IMEI — это уникальный идентификатор гаджета, который содержит такую информацию, как дата изготовления и технические характеристики оборудования.
С помощью этих идентификаторов, IMSI и IMEI, можно определить местоположение пользователя в сети. Эти данные также могут использовать мошенники для перехвата и перенаправления исходящих звонков абонентов.
Palo Alto Networks сообщила Baidu об обнаруженных утечках. Эксперты также уведомили команду Google Android, которая подтвердила нарушения и удалила приложения из Google Play 28 октября. Поисковик Baidu вновь был доступен в Google Play 19 ноября, а Baidu Maps пока отсутствуют. Они должны вернуться в Google Play декабре.
В Baidu заявили, что данные собирались в соответствии с пользовательским соглашением. Эта информация была необходима приложению для работы SDK Push. Компания подчёркивает, что связи между докладом Palo Alto Networks и удалением приложений из Google Play нет: сервисы необходимо было привести в соответствие с требованиями Google.
В число других приложений, которые проанализировали исследователи Palo Alto Networks, вошёл сервис Homestyler — Interior Design & Decorating Ideas. В нём используется структура GrowingIO. Приложение также собирает личную информацию с устройства пользователя и до сих пор доступно в Google Play.
Чтобы предотвратить утечку данных, разработчики приложений должны следовать рекомендациям по использованию Android и правильно обрабатывать данные пользователей, пишут в Palo Alto Networks. Пользователи Android также должны понимать суть требуемых разрешений приложения.
