Veel Android-apps lekken wachtwoorden

Deze conclusie trekt het bedrijf AppBugs na onderzoek. De onderzoekers hebben de makers eerst begin dit jaar aangeschreven, maar net een kwart van de apps werd daarop voorzien van een update.

Redactie AG ConnectMeer van deze auteur

De onderzoekers nemen de officiële app van de Amerikaanse National Basketball League (NBA) als voorbeeld. Om die app te kunnen gebruiken is een NBA League Pass Account nodig waar gebruikers normaal 199 dollar voor moeten neertellen. Door een foute implementatie van het protocol dat een beveiligde verbinding opzet, is het alsnog mogelijk een man-in-the-middle-aanval op te zetten en de inloggegevens van nietsvermoedende basketbalfans te registeren. Die kunnen vervolgens worden gebruikt om het NBA League Pass Account in te zien.

AppBugs vond 100 apps waarbij de inlog-procedure niet goed werd beschermd. Daartussen bevinden zich ook de apps van de restaurantketen PizzaHut en het Amerikaanse grootwarenhuis Safeway. Na melding bij de makers werden er 28 gerepareerd.