Angry Birds chia sẻ dữ liệu của bạn xa và rộng

Angry Birds khá trò chuyện với thông tin cá nhân của người chơi, theo phân tích chuyên sâu của FireEye.

Phiên bản Android của Angry Birds có sẵn trên Google Play, được cập nhật vào ngày 4 tháng 3, chia sẻ thông tin cá nhân như tuổi tác, giới tính và địa chỉ cùng với thông tin thiết bị với nhiều bên, theo bài đăng trên blog của các nhà nghiên cứu của FireEye, Jimmy Su, Jinjian Zhai và Tao Ngụy. Người dùng chơi trò chơi không có tài khoản Rovio cũng đang chia sẻ thông tin về thiết bị của họ mà không nhận ra điều đó, bài đăng cho biết.

Đây không phải là lần đầu tiên Rovio, nhà phát triển đằng sau các ứng dụng Angry Birds rất nổi tiếng, được hiển thị để chia sẻ dữ liệu người dùng quá rộng rãi. Vào tháng 1, một báo cáo chung từ New York Times, ProPublica và Guardian tiết lộ các cơ quan chính phủ như Cơ quan An ninh Quốc gia có thể khai thác trò chơi và các ứng dụng di động tương tự khác để thu thập dữ liệu người dùng. Mặc dù các báo cáo trước đây tập trung vào các phiên bản cũ hơn hoặc "phiên bản đặc biệt" của trò chơi, nhóm FireEye nhận thấy rằng việc chia sẻ rộng rãi xảy ra ở nhiều phiên bản, bao gồm cả phiên bản "cổ điển" mới nhất, Angry Birds 4.1.0.

Với hơn 2 tỷ lượt tải xuống Angry Birds cho đến nay và hơn một phần tư tỷ người dùng tạo tài khoản Rovio, "việc chia sẻ này ảnh hưởng đến nhiều, nhiều thiết bị", các nhà nghiên cứu viết.

Những loại chia sẻ?

Rovio khuyến khích người dùng tạo tài khoản người dùng để lưu điểm số, các đối tượng trong trò chơi và có thể trao đổi thiết bị giữa trò chơi. Đăng ký yêu cầu ngày sinh, giới tính và email. Người chơi cũng có thể đăng ký nhận bản tin yêu cầu email, tên, quốc gia cư trú và giới tính. Thông tin được tổng hợp thành một hồ sơ duy nhất bằng cách khớp địa chỉ email.

FireEye xác định rằng luồng dữ liệu từ ứng dụng Angry Birds, Angry Birds Cloud và nền tảng hòa giải quảng cáo và thư viện Burstly. Mạng quảng cáo của bên thứ ba Jumptap và Mill Years Media có được thông tin từ Burstly để hiển thị quảng cáo được nhắm mục tiêu. Angry Birds cũng sử dụng Skyrocket, một dịch vụ kiếm tiền từ ứng dụng từ Burstly.

Burstly thêm một mã định danh khách hàng duy nhất vào dữ liệu mà nó thu thập và cung cấp cho một số mạng quảng cáo khác, không chỉ Jumptap và Millenial Media. Cùng với dữ liệu cá nhân, thông tin thiết bị (bao gồm cả Android và số nhận dạng thiết bị), địa chỉ MAC và IP, cũng như kiểu và phần cứng cũng được truyền đi. Tại thời điểm này, người dùng không có ý tưởng hoặc kiểm soát ai có thông tin này, FireEye lưu ý.

Các nhà nghiên cứu cũng lo ngại về thực tế thông tin đang được truyền qua HTTP, ở bản rõ hoặc "định dạng dễ giải mã", theo bài đăng.

Ứng dụng rò rỉ, rò rỉ

Chính sách bảo mật của Rovio nói rõ rằng công ty sẽ thu thập và tải thông tin lên các đơn vị tiếp thị của bên thứ ba, vì vậy họ đã bảo vệ các cơ sở của mình. Tuy nhiên, nếu thông tin cá nhân đang được truyền đi, nó sẽ không bao giờ được ở bản rõ. Không có lời bào chữa.

Các công ty bảo mật ngày càng quan tâm đến lượng thông tin được truyền bởi các ứng dụng di động đến các mạng quảng cáo. Chúng tôi thường xuyên nói về các ứng dụng bị rò rỉ như là một phần của Mobile Threat Thứ hai. Công cụ khai thác của BitDefender thông báo cho bạn khi thông tin cá nhân được chia sẻ và viaForensics mới ra mắt gần đây quaProtect, cho phép bạn có cái nhìn sâu hơn về chính xác nơi dữ liệu của bạn đang đi.

Nhưng đây là một ví dụ thực sự tốt về việc có thể thu thập bao nhiêu dữ liệu và làm thế nào nó lan rộng ra ngoài một ứng dụng. Người chơi có thể nghĩ rằng dữ liệu chỉ được sử dụng cho các quảng cáo được nhắm mục tiêu trong trò chơi, nhưng rõ ràng từ phân tích này, một khi dữ liệu trên máy chủ của Burstly, bất kỳ ai cũng có thể sử dụng nó, ngay cả bên ngoài trò chơi. Mặc dù FireEye tập trung vào Angry Birds, nhưng chắc chắn rằng các trò chơi và ứng dụng khác đang sử dụng các chiến thuật tương tự để chia sẻ thông tin người dùng. Hãy nhớ rằng, chỉ vì thứ gì đó miễn phí không có nghĩa là bạn không trả tiền.