Ứng dụng Uber Taxi trên Android đánh cắp dữ liệu cá nhân người dùng

Uber là dịch vụ hoạt động trên điện thoại dưới dạng ứng dụng, giúp kết nối người cần di chuyển và tài xế. Dịch vụ này được định giá lên tới 17 tỷ USD và đã xuất hiện tại 130 thành phố trên toàn thế giới.

Ứng dụng Uber trên Android được báo cá0 gửi toàn bộ dữ liệu cá nhân bao gồm vị trí hiện tại của bạn đến người đứng đằng sau ứng dụng này. Nhà nghiên cứu bảo mật GironSec đã nghiên cứu độc lập Uber và phát hiện ra điều này. Dữ liệu bao gồm nhật kí cuộc gọi, kiểu ứng dụng mà điện thoại/máy tính bảng đã cài đặt và nhật kí tin nhắn SMS, MMS.  Ubers Gods View Tool cũng có thể xác định điện thoại của bạn có thể bị ảnh hưởng trước malware hay không, điện thoại của bạn đã được Root chưa và gửi dữ liệu tương tự. Tất cả những việc Uber làm đều không cần sự cho phép của chủ nhân điện thoại.

GironSec đã minh họa cách Uber gửi dữ liệu bí mật của người dùng đi. Ông đã dịch ngược mã  ứng dụng này và có được thông tin mà Uber thu thập như sau:

• Accounts log (Email)
• App Activity (Name, PackageName, Process Number of activity, Processed id)
• App Data Usage (Cache size, code size, data size, name, package name)
• App Install (installed at, name, package name, unknown sources enabled, version code, version name)
• Battery (health, level, plugged, present, scale, status, technology, temperature, voltage)
• Device Info (board, brand, build version, cell number, device, device type, display, fingerprint, ip, mac address, manufacturer, model, os platform, product, sdk code, total disk space, unknown sources enabled)
• GPS (accuracy, altitude, latitude, longitude, provider, speed)
• MMS (from number, mms at, mmss type, service number, to number)
• NetData (bytes received, bytes sent, connection type, interface type)
• PhoneCall (call duration, called at, from number, phone call type, to number)
• SMS (from number, service number, sms at, sms type, to number)
• TelephonyInfo (cell tower id, cell tower latitude, cell tower longitude, imei, iso country code, local area code, meid, mobile country code, mobile network code, network name, network type, phone type, sim serial number, sim state, subscriber id)
• WifiConnection (bssid, ip, linkspeed, macaddr, networkid, rssi, ssid)
• WifiNeighbors (bssid, capabilities, frequency, level, ssid)
• Root Check (root staus code, root status reason code, root version, sig file version)
• Malware Info (algorithm confidence, app list, found malware, malware sdk version, package list, reason code, service list, sigfile version)

Và dưới đây là quyền truy cập của Uber

<uses-permission android:name=”android.permission.ACCESS_COARSE_LOCATION”>
</uses-permission>
<uses-permission android:name=”android.permission.ACCESS_FINE_LOCATION”>
</uses-permission>
<uses-permission android:name=”android.permission.ACCESS_NETWORK_STATE”>
</uses-permission>
<uses-permission android:name=”android.permission.ACCESS_WIFI_STATE”>
</uses-permission>
<uses-permission android:name=”android.permission.CALL_PHONE”>
</uses-permission>
<uses-permission android:name=”android.permission.CAMERA”>
</uses-permission>
<uses-permission android:name=”android.permission.GET_ACCOUNTS”>
</uses-permission>
<uses-permission android:name=”android.permission.INTERNET”>
</uses-permission>
<uses-permission android:name=”android.permission.MANAGE_ACCOUNTS”>
</uses-permission>
<uses-permission android:name=”android.permission.READ_CONTACTS”>
</uses-permission>
<uses-permission android:name=”android.permission.READ_PHONE_STATE”>
</uses-permission>
<uses-permission android:name=”android.permission.USE_CREDENTIALS”>
</uses-permission>
<uses-permission android:name=”android.permission.VIBRATE”>
</uses-permission>
<uses-permission android:name=”android.permission.WRITE_SETTINGS”>
</uses-permission>
<uses-permission android:name=”android.permission.WRITE_EXTERNAL_STORAGE”>
</uses-permission>
<uses-permission android:name=”com.google.android.providers.gsf.permission.READ_GSERVICES”>
</uses-permission>
<permission android:name=”com.ubercab.permission.C2D_MESSAGE” android:protectionLevel=”0x00000002″>
</permission>
<permission android:name=”com.ubercab.permission.NOTIFY_ACTION” android:protectionLevel=”0x00000002″>
</permission>
<uses-permission android:name=”com.ubercab.permission.C2D_MESSAGE”>
</uses-permission>
<uses-permission android:name=”com.google.android.c2dm.permission.RECEIVE”>
</uses-permission>
<uses-permission android:name=”android.permission.WAKE_LOCK”>
</uses-permission>

Ta có thể thấy một hãng taxi thu thập những thông tin ngoài tầm dịch vụ của họ. GironSec chỉ công bố ứng dụng Uber trên Android mà chưa có thông tin gì về Uber trên iOS. Với những vi phạm nghiêm trọng hiện tại chưa rõ Google có dỡ bỏ ứng dụng này xuống hay không. Google có cổ phần $258 triệu trong Uber.

Techworm