APP云端漏洞席卷數億手機用戶
責編：admin ｜2014-08-06 14:13:37最近“XX神器”手機病毒在全國爆發，人們驚呼狼來了的同時，智能手機時代更嚴重的安全危機正在悄然滋生。安全研究人員發現，部分流行APP存在云端漏洞，黑客可利用漏洞攻擊手機APP的云端服務器，批量盜取用戶手機數據。
360網站安全檢測平臺抽樣分析，國內常見的2000款手機APP中，有298個APP存在云端漏洞，占比高達14.7%，影響用戶達數億規模。
據介紹，手機APP主要是通過服務器進行系統交互和數據存儲的，而手機APP與服務器之間有單獨的API接口進行連接。一旦API接口存在安全漏洞，黑客就能入侵到手機APP的服務器后臺，盜取APP云端存儲的數據。
與手機病毒攻擊方式相比，黑客對云端漏洞的攻擊更隱蔽、影響范圍也更廣。因為只要有一定安全意識，不點擊“XX神器”短信的病毒鏈接，手機就不會中毒；但是黑客的云端攻擊卻繞過了手機，直接入侵手機APP服務器，無論用戶手機多么安全也無法阻止數據泄露，只有手機APP服務商做好安全防范才能從根本上解決問題。
360網站安全總監趙武表示，盡管云端漏洞對手機APP用戶威脅極大，部分APP廠商對此卻沒有予以重視，甚至成為安全防護的盲區。例如，今年上半年某知名網站泄露部分用戶的信用卡敏感信息，就是因為手機APP與網站服務器API接口的“云端”漏洞導致的。
360網站安全檢測平臺測試發現，市面上常見的2000個手機APP中，有298個手機APP的API接口存在漏洞，更有34個手機APP的接口存在高危漏洞，導致黑客可直接登錄APP服務器。分析發現，這些存在云端漏洞的手機APP涉及閱讀、游戲、打車、圖片制作、音樂、廣告統計等多個服務。
趙武認為，利用手機APP云端漏洞侵入服務器，已經成為黑客攻擊的新方向。“很多無法從網站入侵的黑客，轉而瞄向APP的API接口，由此入侵到云平臺的服務器，進而拖庫(盜取用戶數據庫)或進行惡意破壞。”
針對APP服務器端的防護，360提供了網站衛士免費服務，能夠有效防止漏洞、DDoS等惡意攻擊。此外，360“庫帶計劃”近期也收到多個APP“云端”漏洞的報告，并協助相關APP廠商修復漏洞。