Az SDK olyan fejlesztői eszközkészlet, amelyet gyakran ingyen elérhetővé tesznek, és lehetővé teszi a szoftverfejlesztők számára, hogy egy adott alkalmazás fejlesztésekor csupán annak főbb elemeire összpontosítsanak, és például az alapfunkciókat a már készen elérhető SDK-val egészítsék ki. Például a reklám SDK-k felhasználói adatokat gyűjtenek azért, hogy minél relevánsabb reklámokat jelenítsenek meg, és ilyen módon segítsék a szoftverkészítők bevételszerzését. Ezek a készletek a felhasználói adatokat népszerű hirdetési hálózatok domainjeire küldik a célzottabb hirdetések megjelenítéséhez.

Ugyanakkor az alkalmazások mélyebb elemzése azt mutatta, hogy az adatok titkosítatlanul és védelem nélkül érkeznek a szerverekre. A titkosítás hiányában az adatok bárki számára hozzáférhetőek – például védelem nélküli wi-fi hálózatokon keresztül az internetszolgáltató, egy malware vagy egy otthoni router segítségével. Továbbá az adatok módosíthatók, vagyis az alkalmazás akár kártékony hirdetést is megjeleníthet a valósak helyett. Például rávehetik a felhasználót, hogy olyan alkalmazást töltsenek le, amely valójában egy malware.

Privát adatok is illetéktelenekhez kerülhettek

A Kaspersky Lab kutatói átnézték az Android Sandbox program segítségével az alkalmazások naplóit és hálózati forgalmát, hogy kiderítsék, mely alkalmazások továbbítanak titkosítatlan felhasználói adatokat a HTTP hálózaton. Számos olyan domaint azonosítottak, amelyek népszerű hirdetőhálózatokhoz tartoznak. Az ilyen SDK-t használó alkalmazások száma több millió, és a legtöbb legalább egy az alábbi listában található adatot titkosítatlanul továbbít:

• Privát adatok, főként a felhasználó neve, kora és neme. Néhány esetben akár még az adott felhasználó bevételét is. Telefonszám és e-mail cím is köztük lehet, mivel nagyon sok felhasználó megosztja ezeket az információkat is – derült ki egy másik Kaspersky Lab által készített vizsgálatból.
• Készülékadatok, például a gyártó, a modell, a képernyő felbontása, a rendszer típusa és verziója, valamint az alkalmazás neve.
• Készülék pontos helye.

„Az első gondolatunk az volt, hogy csupán néhány hanyagul fejlesztett alkalmazást találtunk. Sajnos a vizsgálatok során kiderült, hogy nem erről van szó. A harmadik féltől származó SDK-kat több millió alkalmazás foglalja magában, és számtalan olyan privát adathoz van hozzáférésük, amelyek könnyen feltörhetőek, és akár módosíthatóak – ez pedig szükségszerűen kibertámadásokhoz vagy akár zsarolásokhoz vezethet, és nem várt támadási vektorokat eredményez” – nyilatkozta Roman Unuchek, a Kaspersky Lab biztonsági kutatója.

A Kaspersky Lab kutatói az alábbiakat javasolják a felhasználóknak:

• Ellenőrizze az alkalmazások engedélyeit. Ne adjon hozzáférést valamihez, amit nem ért. A legtöbb alkalmazásnak nincs szüksége lokális adatokhoz, ezért ne adjon jogosultságot hozzá.
• Használjon VPN-t, amely titkosítja a hálózati forgalmat a készülék és a szerver között. Továbbra is titkosítatlan marad a VPN használatával, de legalább az adatszivárgás elkerülhető.