היזהרו ממתן מיותר של הרשאות נגישות לאפליקציות באנדרואיד

לאחרונה התגלתה רושעה, העושה שימוש לרעה בהרשאות נגישות, כדי לגנוב פרטים פיננסיים של המשתמשים, כולל פרטי כרטיס אשראי, פרטי התחברות לאפליקציות בנקאיות ופייפאל. בזכות ההרשאות הנרחבות, מפעילי הרושעה אף יכולים להתגבר על Two-Factor Authentication. יצוין, כי על פי הידוע, טרם נעשה ברושעה שימוש.

כך זה עובד: המשתמש מוריד אפליקציה תמימה למראה מחנות האפליקציות -> האפליקציה מבקשת הרשאות נגישות -> המשתמש מעניק הרשאות נגישות -> לאפליקציה/רושעה הרשאות מורחבות ביותר לבצע פעילות זדונית על המכשיר.

מה ההאקרים יכולים לעשות עם ההרשאות הללו?

כבר כאשר המשתמש מתבקש לאשר את הרשאות הנגישות, ניתן לראות שאפליקציה שתקבל את ההרשאות תוכל לקרוא סיסמאות ומספרי כרטיס אשראי:

כאמור, ההאקרים אף יכולים לעשות שימוש בהרשאות הנרחבות כדי לעקוף Two-Factor Authentication, בגלל הגישה הניתנת ל-SMSים של המכשיר.

למה Google לא עושה עם זה כלום?

חברת Google מודעת לבעיה כבר לא מעט שנים, וידוע שהיא עוברת בדקדקנות על חנות האפליקציות (Google Play) כדי למצוא אפליקציות שעושות שימוש לרעה בהרשאות הנגישות. אך חשוב להדגיש שגם המעבר של Google על חנות האפליקציות אינו נותן הגנה מלאה, והתנהגות נכונה שלנו כמשתמשים הינה קריטית כדי להגן על עצמנו.

אז מה אני בתור משתמש יכול לעשות כדי להיזהר?

כאמור, החברה שפרסמה על אודות הרושעה – Cybereason – לא מצאה עדות לכך שנעשה כבר שימוש ברושעה. היא ככל הנראה בתהליך פיתוח בלבד. עם זאת, ידוע שבעבר, רושעות אחרות עשו שימוש בהרשאות נרחבות אלו. לכן, באמצעות מספר אמצעי זהירות פשוטים, ניתן להבטיח שלא תיפלו קורבן לרושעה מסוג זה:

• הורידו אפליקציות אך ורק מ-Google Play. נכון שגם ב-Play נמצאו אפליקציות זדוניות בעבר שעברו את מנגנוני ההגנה של Google, אבל על חנויות האפליקציות הלא רשמיות אין שום פיקוח.
• הסתכלו על ההרשאות שהאפליקציה מבקשת, ודאו שאתם מאשרים רק את מה שנראה לכם הגיוני ודרוש עבור פעילות האפליקציה. בכל מקרה – אם אינכם בעלי מוגבלות, כנראה שאין שום סיבה שתאשרו הרשאות נגישות לאף אפליקציה!
• נהלו באופן אקטיבי הרשאות אפליקציות, ובדקו אילו הרשאות נתתם מפעם לפעם. קראו עוד על הרשאות אפליקציות ואבטחת הטלפון הנייד במדריך שלנו בנושא.
• בדקו אילו אפליקציות בעלות הרשאות נגישות אצלכם במכשיר: גשו ל"הגדרות" -> "נגישות" -> "שירותים מותקנים" (קיימים הבדלים בתפריטים בין גרסאות האנדרואיד השונות).
• הסתכלו על כמות ההורדות של האפליקציה והדירוג שלה. חשדו באפליקציות עם שמות מוכרים כגון "Adobe Flash" שיש להן מעט מאוד הורדות.
• התקינו מוצר אבטחה איכותי במכשיר שלכם. רבים מהם יוכלו לזהות פעילות זדונית מסוג זה.
• זיהיתם פעילות חשודה כלשהי? SMSים מוזרים שמעידים לכאורה על פעילות שלא ביצעתם בפייפאל/כרטיסי אשראי/בנק? פעלו במהירות מול הגוף הפיננסי, ונסו להבין מהיכן הגיע הפריצה (מחשב אישי, מייל, סמארטפון וכו').
• אנו ממליצים בכל זאת להשתמש ב-Two Factor Authentication. שירות זה נותן עוד שכבת הגנה חשובה לשירותים בהם אתם משתמשים, על אף שאינו חסין ומושלם.

פורסם על ידי חברת Cybereason (עדיין לא נצפה שימוש ברושעה זו).

לידיעה חדשותית בנושא ב-TheRegister.

לניתוח מעמיק שנעשה להרשאות נגישות והסכנות הטמונות בהם על ידי חברת F-Secure.