Estudo de caso: Descobrindo uma vulnerabilidade crítica em um aplicativo de seguro de vida que comprometeu a privacidade do usuário por meio de dados confidenciais expostos e atividades ao vivo

Sumário executivo

Este relatório investiga um estudo de caso sobre um incidente de segurança revelado com CloudSEKs Plataforma digital de segurança da cadeia de suprimentos St. Vigil em um aplicativo móvel de seguro de vida para um banco importante.

Este estudo de caso examina um lapso de segurança em um aplicativo móvel de seguro de vida, destacando uma vulnerabilidade originada de CloudSEKs ferramenta de monitoramento da cadeia de suprimentos, St. Vigil. Aproveitando essa vulnerabilidade, os invasores podem obter acesso não autorizado à atividade ativa do usuário e às informações confidenciais do usuário, incluindo informações de identificação pessoal (PII).

A vulnerabilidade no aplicativo móvel interno usado pelos agentes da seguradora de vida é o endereço IP codificado que aponta para um servidor MQTT, que permite acesso não autenticado a dados confidenciais do usuário, incluindo instantâneos em tempo real, estatísticas do usuário, detalhes da transação e informações de identificação pessoal (PII), como números de telefone e IDs de agentes. Isso expõe os usuários à possível exploração por atacantes que podem monitorar a atividade do usuário ao vivo e as mensagens pessoais.

‍

O MQTT é um protocolo de rede leve, de publicação e assinatura, de máquina a máquina para serviço de fila de mensagens/enfileiramento de mensagens.

‍

Processo passo a passo

• O vetor de ataque inicial se origina de uma ferramenta de monitoramento da cadeia de suprimentos, a SVigil.

1. Vulnerabilidade de endereço IP codificado: O aplicativo contém endereços IP codificados direcionados aos servidores MQTT internos, tornando-os facilmente acessíveis aos invasores.
2. Servidor MQTT não autenticado: A falta de mecanismos de autenticação nos servidores MQTT permite o acesso não autorizado, permitindo que os invasores visualizem e manipulem dados.

‍

3. Permissões excessivas de compartilhamento de tela: O aplicativo solicita permissões desnecessárias de compartilhamento de tela, potencialmente concedendo aos atacantes acesso a informações confidenciais do usuário além do escopo pretendido.
4. Exposição de dados do servidor MQTT: Aproveitando o conhecimento de MQTT e Python, os invasores exploram vulnerabilidades para interceptar instantâneos em tempo real de dispositivos de usuários compartilhados no servidor MQTT do aplicativo.
5. Monitoramento ao vivo da atividade do usuário: os invasores obtêm a capacidade de monitorar a atividade do usuário ao vivo, incluindo mensagens pessoais, explorando vulnerabilidades no servidor MQTT.
6. Exposição de dados de PII e transação: O aplicativo expõe estatísticas de usuários, dados de transações e informações de identificação pessoal (PII) de agentes, incluindo números de telefone e IDs, aumentando o risco de acesso não autorizado e uso indevido.

Recomendações

• Remediação imediata de endereços IP: remova endereços IP codificados do código do aplicativo e implemente mecanismos dinâmicos de descoberta de servidores para aprimorar a segurança.
• Mecanismos de autenticação: Implemente mecanismos de autenticação robustos para servidores MQTT para evitar o acesso não autorizado e garantir a integridade dos dados.
• Reavalie as permissões de compartilhamento de tela: Revise e revise as permissões de compartilhamento de tela para minimizar o acesso a informações confidenciais do usuário e limitar possíveis vetores de ataque.
• Criptografia de dados: Criptografe dados confidenciais transmitidos por servidores MQTT para proteger contra espionagem e acesso não autorizado.
• Auditorias regulares de segurança: Realize auditorias regulares de segurança e testes de penetração para identificar e resolver vulnerabilidades de forma proativa.
• Educação do usuário: Ofereça programas de treinamento e conscientização para usuários e agentes para aprimorar a higiene de segurança e evitar a exposição inadvertida de dados.

Referências

• https://en.wikipedia.org/wiki/Traffic_Light_Protocol
• https://docs.oasis-open.org/mqtt/mqtt/v5.0/mqtt-v5.0.html
• https://www.hivemq.com/mqtt/mqtt-security-fundamentals/

• http://www.steves-internet-guide.com/topic-restriction-mosquitto

‍