Kreditkarten gefährdet iOS-Apps verschicken heimlich Screenshots

dj

8.2.2019

Die App von Air Canada war besonders betroffen.
Die App von Air Canada war besonders betroffen.
iStock

Viele iOS-Apps erstellen heimlich Screenshots und schicken sie an die Macher. Das kann ein grosses Sicherheitsrisiko darstellen.

Viele populäre iOS-Apps erstellen während der Nutzung Screenshots und schicken sie an die Macher zurück. Das zeigt eine Untersuchung von App Analyst im Auftrag von techcrunch.com. Konkret geht es um die Analyse-Software Glassbox, die viele App-Entwickler zur Verbesserung ihrer Produkte nutzen.

Glassbox hat eine Funktion namens «Session Replay». Hierbei werden bei der Nutzung kontinuierlich Screenshot erstellt und via Glassbox an die Entwickler geschickt. Erklärtes Ziel ist dabei, Fehler zu erkennen. Wenn eine App aus unerklärlichen Gründen abstürzt, können die Entwickler nachverfolgen, was die Nutzer zuvor gemacht haben und Ursachenforschung betreiben. Die Screenshots können immer nur von der jeweiligen App gemacht werden, auf das restliche Smartphone-Betriebssystem besteht kein Zugriff.

Schwerer Fehler bei Air Canada

Doch über diese Screenshots werden auch potenziell vertrauliche Daten verschickt, wie App Analyst am Beispiel der App von Air Canada zeigte. Hier wurden auch Screenshots während des Buchungsprozesses erstellt. Glassbox bietet zwar ein Funktion an, bei der sensible Felder automatisch mit schwarzen Blöcken überlegt werden und so eigentlich nicht zu sehen sein sollten — dieser war aber bei der Air Canada-App falsch konfiguriert.

Das bedeutete, dass etwa Adressen und Kreditkartendaten der Kunden der Fluggesellschaft auf den Screenshots zu sehen waren und potenziell von Glassbox-Mitarbeitern oder einfachen Air Canada-Programmierern missbraucht werden könnten. Und natürlich verstösst dies auch gegen Bestimmungen zur sicheren Speicherung von Zahlungsdaten.

Laut techcrunch.com verwenden zahlreiche andere Apps, etwa von Expedia, Singapore Airlines oder Abercrombie & Fitch, ebenfalls die «Session Replay»-Funktion. Konkrete Sicherheitslecks wurden hier aber nicht entdeckt. Keine der betroffenen Firmen weist ihre Nutzer allerdings darauf hin, dass die Technologie verwendet wird und quasi jeder ihrer Schritte in der App überwacht wird.

Update 8. Februar, 9:00 Uhr: Apple hat Entwickler aufgefordert, die entsprechenden Code-Schnipsel zu entfernen, wie techcrunch.com meldet.

Bilder des Tages

Zurück zur Startseite