Die Tastatur-App "Ai.Type" hat sensible Daten von etwa 31 Millionen Nutzern offen auf einem Server ohne Passwortschutz ins Netz gestellt.
Sicherheitsforscher vom Kromtech Security Center via MacKeeper Security haben bei der weltweit beliebten Tastatur-App Ai.Type für iOS und Android eines Startup-Unternehmens aus Tel Aviv ein massives Datenleck aufgedeckt. Eine 577 GByte umfassende MongoDB lag aufgrund eines Konfigurationsfehlers ungesichert im Netz und gab so sensible Daten von 31.293.959 Nutzern preis. Betroffen sind vor allem die Informationen von Personen, welche das Programm auf einem Android-Smartphone verwendet haben, berichtet ZDnet unter Bezugnahme auf die Sicherheitsforscher von Kromtech.
Riesen Datenleck bei Ai.Type
Im App Store beschreiben die Ai.Type-Entwickler ihre App als die „intelligenteste Zusatz-Tastatur für iPhone und iPad“. Die App ist weit verbreitet. Google Play weist rund 40 Millionen Downloads auf, sie wertet die Tastatureingaben aus und würde sich, nach eigenen Angaben, dadurch auf den persönlichen Schreibstil ihrer Nutzer einstellen. Bereits nach der Installation wird man darauf hingewiesen, dass alle mit der Tastatur eingegebenen Texte, einschließlich persönlicher Daten, wie Postanschrift, Passwörter und Kreditkartennummern, gesammelt und übertragen werden.
So haben die App-Entwickler die erforderliche Zustimmung zum Anlass genommen, um all diese eingegebenen sensiblen Daten der User auszuspähen. Doch damit nicht genug. Die erbeuteten Daten waren offenbar nicht einmal richtig geschützt, die Sicherheitsforscher haben sie auf einem Server ohne Passwortschutz im Internet gefunden.
Server stand ungeschützt im Netz
Zu den aufgezeichneten Nutzerdaten, gehörten den Kromtech-Forschern zufolge, Namen, Telefonnummern und E-Mail-Adressen. Dazu kommen Adressdaten, der genaue Standort eines Nutzers, einschließlich seiner Stadt und seines Landes. Aber auch die IMSI- und die IMEI-Nummer, Angaben zum Modell, zur Bildschirmauflösung, zur Spracheinstellung und zum Betriebssystem. Sie speicherten ebenso IP-Adressen, Anbieterinformationen, der Name genutzter WLAN-Verbindungen, Links zu Social-Media-Profilen und Angaben aus den Sozialen Medien, wie Geburtsdatum oder Profilfotos etc.
Offenbar sind teilweise sogar die Adressbücher der Nutzer ausgelesen worden. Die Datenbank enthält zudem Statistiken, wie viele Nachrichten Nutzer pro Tag geschrieben haben. Und wie viele Wörter sie dabei durchschnittlich verwendeten, ferner Informationen über die populärsten Suchbegriffe für verschiedene Regionen. Von dem Datenleck sind sogar Personen betroffen, die die App gar nicht heruntergeladen haben: „Wir haben auch mehrere Tabellen gefunden mit Kontaktdaten, die von Nutzertelefonen hochgeladen wurden“, informiert ZDNet. In einer Tabelle fanden sich 10,7 Millionen E-Mail Adressen, in einer anderen 374,6 Millionen Telefonnummern.
Die Sicherheitsforscher bezeichnen die von der App gesammelten Informationen als eine „schockierende Menge“. Insgesamt seien 577 GB an Daten ins Netz gelangt. Durch das Sicherheitsleck seien alle Einträge „für jeden mit einer Internet-Verbindung“ frei zugänglich gewesen. Sowohl zum Herunterladen, als auch zum Löschen der Einträge.
Geschäftsführung räumt Fehler ein
AI.type-Mitgründer Eitan Fitusi habe seine Nachlässigkeit inzwischen zugegeben. Laut ZDNet sollen die Informationen auf dem AI.type-Server aber mittlerweile abgesichert sein, sodass keine weiteren Inhalte ins Netz gelangen dürften. Gegenüber der BBC meinte Fitusi, die Darstellungen wären übertrieben, denn bei der nicht passwortgeschützten Datenbank habe es sich um eine „sekundäre Datenbank“ gehandelt, die nicht so viele Informationen beinhalte, wie von Kromtech behauptet. So seien keine Geräteinformationen erfasst oder genaue Standortdaten gespeichert worden. Die App habe lediglich erfasst, welche Werbeanzeigen die Nutzer klickten. In der App-Beschreibung von „Ai.Type“ heißt es. „Ihr Datenschutz ist uns wichtig. Wir geben nie Ihre Daten frei oder erfassen Ihre Passwörter. Texte bleiben verschlüsselt und privat.“
Ai.Type – kostenlos ist halt nicht umsonst
Kromtech-Sicherheitsforscher Bob Diachenko hält Bedenken vor dem Einsatz kostenloser Apps, die vollen Zugriff auf Geräte verlangen, für angebracht. „Wieder einmal stellt sich die Frage, ob es das wirklich wert ist, wenn Konsumenten ihre Daten im Austausch zu kostenlosen oder vergünstigten Produkten preisgeben“, heißt es im Blog der Forscher.
Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte über Twitter vor der Keyboard-App AI.type. Das Amt rät dazu, bei allen über ein Smartphone mit AI Type genutzten Diensten die Passwörter zu ändern, weil diese ebenfalls durch den Leak kompromittiert sein könnten. User sollten laut BSI den Nutzen solcher Apps abwägen. Kostenlose Dienste wie AI.type würden meistens mit den Daten ihrer Nutzer bezahlt. Deshalb sollte man derartige Anwendungen mit besonderer Vorsicht betrachten.
Bildquelle: geralt, thx! (CC0 Public Domain)
Tarnkappe.info
