Теперь долго разыскивать близкого, да и любого другого человека не придется – сотрудники компании по кибербезопасности Malwarebytes выяснили, что «шпионить» можно за кем угодно. И кто угодно.
“Злоумышленнику не понадобятся для слежки никакие специальные знания, никакое специальное ПО класса stalkerware тоже не нужно”,
рассказали эксперты.
Все дело, как мы сразу сообщили – в Google. Точнее – в ошибке, которая позволила отслеживать передвижение владельцев ОС Android.
Android like golem
Беспардонную уязвимость, которая при поверхностном взгляде может показаться особенностью, сам того не ожидая заметил исследователь сферы информационной безопасности Питер Арнц (Pieter Arntz). Что бы он делал без своей жены!
Так как гугл-ошибка стала заметна в тот момент, когда специалист помогал ей устанавливать платное приложение на смартфон. Чтобы оплатить покупку ему потребовалось зайти в свой собственный аккаунт Google с ее мобильника.
После установки приложения он вернул устройство супруге, но забыл, при этом, выйти из учетной записи.
Просматривая раздел «Хронология» (Timeline) в приложении «Карты Google» (Google Maps) на своем гаджете, Арнц увидел, что история его перемещений в течение дня была отмеченными местами, которые он вовсе не посещал. В тот момент специалист просто подумал, что места определились неточно. Но наблюдать за происходящем не перестал.
Через несколько дней «Хронология» выдала оба маршрута – и его, и его жены с точностью до минуты.
Service like Surveillance
Жена Питера понятия не имела, что за ней следят – ведь она запретила Google вести «Хронологию»! К тому же, единственным признаком того, что история ее передвижений отслеживается, оказался изменившийся аватар – кружочек в правом верхнем углу интерфейса «Карт Google».
Питер понял, что всего лишь однократного вхождения в учетную запись с Android-смартфона для визита в магазин приложений Google Play достаточно, чтобы «учетка» «осела» на устройстве.
Нет, просто выйти из нее – не получится, миссис Арнц.
Необходимо целенаправленно удалить чужой аккаунт в разделе настроек Android.
Feature оf future
Питер Арнц поспешил сообщить Google об обнаруженном баге (так же он спешил сообщить об этом жене, Malwarebytes не сообщают), но тут же стал терзаться сомнениями:
“Опасаюсь, что в Google просто идентифицируют это не багом, а фичей“,
сокрушается исследователь.
Эксперты Malwarebytes добавляют, что в качестве меры, которая могла бы увеличить защищенность владельцев Android от злоупотреблений возможностями программной платформы, могли бы выступить уведомления о входе в Google Play с чужой учетной записи не только ее владельца, но и владельца устройства.
В любом случае, в Google специалисты тоже заняты. Недавно специалисты создали темпоральный кристалл и обещали, что он “перевернет наши представления о законах физики”.
