На Android и iOS довольно популярны приложения с картами сетей Wi-Fi. С их помощью можно найти точки с бесплатных доступом в интернет и подключиться к ним, даже если они запаролены. Пароли указывали как владельцы роутеров, так и пользователи, которым они каким-то образом становились известны.

Подписаться на iGuides в Telegram, чтобы узнать обо всем первым — t.me/iguides

ИБ-специалист Саньям Джейн выяснил, что одно из таких приложений, WiFi Finder, хранило в открытом виде данные примерно о двух миллионах точек Wi-Fi, в том числе частных. В его базе в открытом виде содержались сведения о названиях точек, их пароли и геолокация. Также выяснилось, что WiFi Finder запрашивал у пользователей смартфонов излишне много разрешений (доступ к геолокации, почте, номерам телефонов из записной книги, возможность изменять и удалять любые файлы), а также просил указывать дату рождения и привязывать к аккаунту различные профили в соцсетях.

Формально WiFi Finder предназначен для поиска публичных сетей Wi-Fi, однако приложение не разграничивало их от приватных точек. Таким образом под угрозу компрометации были поставлены сети, принадлежащие в том числе частным лицам и организациям, которые не планировали предоставлять бесплатный доступ в интернет через своё оборудование. После подключения к чужому Wi-Fi злоумышленник может порыться в компьютерах через локальную сеть, настроить перехват данных или совершить какое-нибудь киберпреступление, отвечать за которое придётся невиновному.

Издание TechCrunch уведомило о проблеме компанию Proofusion, владеющую приложением WiFi Finder, но не получил ответа. Тогда оно обратилось к хостеру DigitalOcean, который отключил Proofusion от своих серверов.

---

iGuides в Telegram — t-do.ru/igmedia
iGuides в Яндекс.Дзен — zen.yandex.ru/iguides.ru