Kaspersky: Werbe-SDKs für mobile Apps geben unverschlüsselte Nutzerdaten preis

Betroffen sind zahlreiche Apps mit mehreren Millionen Installationen weltweit. Die Werbe-SDKs übertragen persönliche Daten, die sie für zielgerichtete Werbung benötigen, unverschlüsselt. Die Daten lassen sich also manipulieren, was unter Umständen das Einschleusen bösartiger Anzeigen erlaubt.

Kaspersky Lab hat herausgefunden, dass einige weit verbreitete mobile Anwendungen Nutzerdaten unverschlüsselt übertragen. Verantwortlich dafür sind allerdings nicht die Apps selbst, sondern unsichere Software Development Kits (SDKs) für Werbeanzeigen.

Verschlüsselung (Bild: Shutterstock)Werbung ist für viele Anbieter kostenloser Apps die einzige Einnahmequelle, um die Kosten für Entwicklung, Support und Betrieb einer mobilen Anwendung decken zu können. SDKs wiederum sind eine einfache Möglichkeit, Anzeigen in eine App einzubinden.

Diese Tools, die oftmals kostenlos von Dritten bereitgestellt werden, sammeln Nutzerdaten, um relevante und zielgerichtete Anzeigen einzublenden. Sind die SDKs nicht sicher, können sie die Sicherheit der gesamten App kompromittieren.

Kaspersky zufolge werden Nutzerdaten oft ungesichert und unverschlüsselt per HTTP an die Server der Werbeplattformen übertragen. „Sie sammeln Nutzerdaten, um relevante Werbung anzuzeigen, schützen die Daten aber oft nicht während der Übermittlung an ihre Server“, sagte Kaspersky-Forscher Roman Unuchek. „Abgefangene Daten können verändert werden, was dazu führen kann, dass die App schädliche anstatt legitimer Werbung anzeigt. Nutzer werden dann zum Download einer beworbenen App verleitet, die sich als Malware herausstellt.“

Welche Apps betroffen sind, teilte Kaspersky Lab nicht mit. Es soll sich jedoch um Anwendungen mit mehreren Millionen Installationen weltweit handeln. Daten wie Namen, Alter, Geschlecht, Telefonnummern, E-Mail-Adressen, Geräteinformationen und Standortdaten werden an Domains von Werbenetzwerken wie mopub.com, rayjump.com, tappas.net, nexage.com und appsgeyser.com übertragen.

Anfänglich sei Kaspersky davon ausgegangen, dass es sich nur wenige Beispiele „nachlässiger App-Entwicklung“ handele. Das gesamte Ausmaß des Problems sei jedoch „überwältigend“. „Millionen von Anwendungen enthalten Drittanbieter-SDKs, die private Daten preisgeben, die sich leicht abfangen und verändern lassen – was zu Malware-Infektionen, Erpressung und anderen sehr effektiven Angriffsvektoren auf diese Geräten führen kann“, ergänzte Unuchek.

Grundsätzlich hätten inzwischen mehr als 60 Prozent aller mobilen Apps ihre Kommunikation auf sicheres HTTP (HTTPS) umgestellt. 90 Prozent dieser Apps verwendeten für einzelne Prozesse jedoch immer noch ungesichertes HTTP. Es liege nun an den Entwicklern, vollständig auf HTTPS umzusteigen und zum Schutz der Privatsphäre der Nutzer für jegliche Kommunikation eine Verschlüsselung zu aktivieren.

Bis dahin sollten Nutzer die Berechtigungen im Auge behalten, die sie einer App gewähren. Zudem sollten sie die Nutzung einer VPN-Verbindung in Betracht ziehen, um den Datenverkehr zwischen ihren Geräten und Servern zu schützen.

Tipp: Was wissen Sie über Mobile Apps? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

ANZEIGE

Aktuelle Studie zur Dokumentensicherheit in deutschen Büros

Eine aktuelle Statista-Umfrage (im Auftrag von KYOCERA Document Solutions) hat ergeben: Der deutsche Mittelstand hat Nachholbedarf beim Thema Dokumentensicherheit. Mehr als die Hälfte der befragten Mitarbeiter hat Zugriff auf Dokumente, die nicht für sie bestimmt sind. Weitere Infos und Tipps zur Optimierung erhalten Sie im gratis E-Book. Jetzt herunterladen!

Themenseiten: App, Datenschutz, Kaspersky, Privacy, Verschlüsselung

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Kaspersky: Werbe-SDKs für mobile Apps geben unverschlüsselte Nutzerdaten preis

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *