Apr 23, 2019 Marco Schiaffino Gestione dati, In evidenza, Leaks, News, RSS, Vulnerabilità 0

I dati raccolti dall’app WiFi Finder conservati senza alcuna protezione all’interno di un server aperto a tutti. Festa grande per i pirati informatici.

Perché perdere tempo a portare attacchi di Brute Forcing contro un router o un hot spot quando si può trovare la password su Internet?

L’opportunità per i cyber-criminali di accedere a questa pratica scorciatoia l’ha offerta WiFi Finder, un’applicazione per Android sviluppata da una società cinese che è stata scaricata e utilizzata da decine di migliaia di utenti.

L’app, come si legge nella descrizione pubblicata su Google Play, dovrebbe permettere di trovare hotspot gratuiti attraverso un sistema di geolocalizzazione, che permetterebbe in buona sostanza di trovare una rete Wi-Fi disponibile nel luogo in cui ci si trova.

A quanto pare, però, l’app non si limita a registrare gli hot spot gratuiti, ma anche le credenziali di accesso alle reti Wi-Fi casalinghe.

A scoprirlo sono stati i ricercatori della GDI Foundation, che hanno individuato su Internet un server liberamente accessibile al cui interno sono memorizzate (in chiaro) circa 2 milioni di credenziali di reti Wi-Fi.

Insomma: si tratterebbe di un gigantesco “elenco del telefono” che contiene la posizione degli hot spot e le credenziali per accedervi.

Il problema, spiegano i ricercatori, non riguarda però soltanto le reti Wi-Fi private che sarebbero finite nel calderone. Anche nel caso di punti di accesso pubblici, il fatto che qualcuno abbia a disposizione direttamente delle credenziali, senza che debba richiederle, rappresenta un potenziale problema di sicurezza. Pensiamo al caso degli alberghi, che normalmente forniscono l’accesso solo ai clienti registrati.

Il rischio è che un pirata informatico si garantisca in questo modo la possibilità di accedere a sistemi a cui normalmente non avrebbe accesso, ottenendo una situazione di vantaggio che gli consentirebbe, per esempio, di portare un attacco Man in the Middle.

Non solo: nel caso in cui siano indicati hot spot che non utilizzano sistemi di autenticazione, una mappatura di questo genere può venire estremamente comoda per pianificare attacchi che consentirebbero il furto di informazioni riservate da tutti i dispositivi che vi si collegano. Insomma: da qualsiasi parte la si guardi, si tratta di un potenziale incubo per la sicurezza di milioni di persone.

Dalle parti della GDI Foundation non hanno avuto nemmeno vita facile nel risolvere la situazione. I loro tentativi di contattare lo sviluppatore, infatti, sono stati vani.

Ciò che sono riusciti a fare è stato contattare DigitalOcean, che forniva l’hosting per il database in questione. I dati, di conseguenza, sono stati rimossi. Non ci sono garanzie, però del fatto che lo sviluppatore abbia capito l’antifona.

Please follow and like us: