Gli sviluppatori cinesi di popolari app di gioco Android hanno esposto le informazioni appartenenti agli utenti attraverso un server non protetto.
In un rapporto condiviso con ZDNet, il team di sicurezza informatica di vpnMentor, guidato da Noam Rotem e Ran Locar, ha rivelato che EskyFun è il proprietario di un server da 134 GB esposto e reso pubblico online.
EskyFun è lo sviluppatore di giochi Android tra cui Rainbow Story: Fantasy MMORPG, Adventure Story, La leggenda dei tre regni e Metamorph M.
Giovedì, il team ha dichiarato che gli utenti dei seguenti giochi sono stati coinvolti nella fuga di dati: Rainbow Story: Fantasy MMORPG, Metamorph M e Dynasty Heroes: Legends of Samkok. Insieme, rappresentano oltre 1,6 milioni di download.
In totale, il team ha affermato che presunti 365.630.387 record contenevano dati dal giugno 2021 in poi, perdendo i dati degli utenti raccolti su un sistema a rotazione di sette giorni.
Il team afferma che gli sviluppatori impongono “impostazioni di monitoraggio, analisi e autorizzazioni aggressive e profondamente preoccupanti” quando il loro software viene scaricato e installato e, di conseguenza, la varietà di dati raccolti è stata, forse, molto più di quanto ci si aspetterebbe dai giochi mobili richiedere.
I record includevano numeri IP e IMEI, informazioni sul dispositivo, numeri di telefono, sistema operativo in uso, registri eventi del dispositivo mobile, indipendentemente dal fatto che un telefono fosse rootato o meno; rapporti sugli acquisti e sulle transazioni di giochi, indirizzi e-mail, password dell'account EskyFun archiviate in testo normale e richieste di supporto, tra gli altri dati.
vpnMentor < /figure>
vpnMentor sospetta che fino a, o più di, un milione di utenti possano aver avuto le loro informazioni esposte.
Il server non protetto è stato scoperto il 5 luglio ed EskyFun è stato contattato due giorni dopo. Tuttavia, non avendo ricevuto risposta, vpnMentor ha effettuato un secondo tentativo il 27 luglio.
Il silenzio continuato ha richiesto al team di contattare anche l'Hong Kong CERT e il server è stato protetto il 28 luglio.
< p>“Molti di questi dati erano incredibilmente sensibili e non era necessario che un'azienda di videogiochi conservasse file così dettagliati sui propri utenti”, hanno commentato i ricercatori. “Inoltre, non proteggendo i dati, EskyFun ha potenzialmente esposto oltre un milione di persone a frodi, hacking e molto peggio.”
ZDNet ha contattato EskyFun e aggiorneremo quando avremo notizie.
Copertura precedente e correlata
I più grandi hack e violazioni dei dati del 2020
L'errata configurazione di Microsoft Power Apps espone 38 milioni di record di dati
Il costo della violazione dei dati aziendali ha raggiunto livelli record durante la pandemia di COVID-19
Hai un consiglio? Mettiti in contatto in modo sicuro tramite WhatsApp | Segnale al +447713 025 499 o tramite Keybase: charlie0
Argomenti correlati:
China Security TV Data Management CXO Data Center 