Видео: The XFL's Letter to YOU! (Ноябрь 2024)
Букмекеры Вегаса могут внимательно наблюдать за Сиэтл Сихокс и Патриотами Новой Англии в это воскресенье в Суперкубке, но хакеры в черной шляпе могут быть более заинтересованы в сборе персональных данных с устройств поклонников на Android, предупредила сегодня мобильная компания по безопасности.
Злоумышленники смогут запускать атаки по принципу «человек посередине», чтобы использовать серьезную уязвимость в популярном приложении NFL Mobile, которое раскрывает конфиденциальные личные данные пользователей, хранящиеся на устройствах Android, говорится в сообщении Уандера. Представитель компании заявил SecurityWatch, что проблема остается нерешенной.
«По иронии судьбы, подобно тому, как квотербек уязвим для перехвата, приложение NFL уязвимо для атаки« человек посередине », которая подвергает данные пользователей риску перехвата хакерами», - сказал Эльдар Тувей, генеральный директор Wandera.
Незашифрованные звонки Утечка Информация о пользователе
Приложение требует, чтобы пользователь выполнил безопасный вход с учетными данными NFL.com, но затем утечка имени пользователя и пароля во вторичном незашифрованном вызове API, обнаружили исследователи Wandera. Имя пользователя и адрес электронной почты также сохраняются в незашифрованном файле cookie сразу после входа в систему и при последующих вызовах на nfl.com. Злоумышленник может использовать учетные данные для доступа к полному профилю пользователя на nfl.com. Страница профиля не зашифрована, что означает, что злоумышленники могут использовать атаки «человек посередине» для перехвата данных со страницы.
«Риск особенно высок в это время, когда пользователи, скорее всего, получат доступ к приложению в преддверии самой крупной игры сезона между New England Patriots и Seattle Seahawks», - говорится в сообщении компании.
На данный момент неясно, будут ли сохраненные данные кредитной карты видимы для злоумышленника, так как команда безопасности не пыталась приобрести какой-либо товар под торговой маркой NFL с сайта во время этого анализа. Также не ясно, существует ли такой же недостаток в других приложениях NFL, таких как NFL Now и NFL Fantasy Football.
В настоящее время получите исправление Суперкубка через веб-сайт, а не приложение НФЛ. Не подвергайте себя риску.
Риски для пользователей с приложением
Повторное использование пароля по-прежнему является большой проблемой, поэтому пользователи, у которых одинаковая комбинация адреса электронной почты и пароля для других учетных записей, могут обнаружить, что эти учетные записи скомпрометированы, предупредил Вандера. Данные профиля, такие как дата рождения, полное имя, адрес электронной почты и почтовые адреса, род занятий, поставщик услуг телевидения, пол и номер телефона, могут использоваться для кражи личных данных, фишинга и социальной инженерии.
«Дата рождения, имя, адрес и номер телефона являются точными строительными блоками, необходимыми для начала успешной кражи личных данных от поклонников НФЛ», - сказал Туви.
Если вы используете тот же пароль на других сайтах, особенно на таких важных сайтах, как банковские операции и электронная почта, немедленно измените их.
Преступники нацеливались на профессиональные спортивные сайты и приложения в прошлом. Фальшивые страницы Facebook обманули фанатов НФЛ, заставив их щелкнуть по вредоносным ссылкам на сайты, на которых вредоносные программы Zeus были обнаружены в 2013 году. Вредоносные программы на MLB.com в 2012 году служили поддельным антивирусом для ничего не подозревающих посетителей. Фальшивое мобильное приложение, маскирующееся под устройства, основанные на игре MADDEN NFL 12, укоренившиеся в игре, Исследователи McAfee обнаружили в 2012 году перехваченные SMS-сообщения и подключенные устройства к ботнету.
Кибер-злоумышленникам также нравится нацеливаться на популярные события и интересные новости, чтобы распространять вредоносные программы и выполнять фишинговые атаки. Эти атаки используют люди, которые ищут самую свежую информацию и обновления. OpenDNS идентифицировал веб-сайт, пытающийся имитировать BBC News и предоставляющий ложную информацию о стрельбе в Charlie Hebdo в начале этого месяца. Было проведено несколько кампаний по распространению спама и вредоносных программ, нацеленных на Олимпийские игры в Лондоне и Сочи, а также прошедшие игры Суперкубка. Сайты, принадлежащие дельфинам Майами, защищали вредоносное ПО как минимум за неделю до Суперкубка в 2007 году.
