– De flesta av de felkonfigurerade apparna exponerar fortfarande data som kan leda till att användarna utsätts för bedrägerier, nätfiske, identitetsstöld eller så kallade service-swipes, där bedragare använder de användarnamn och lösenord de kommit över på en mängd olika tjänster. Det är illavarslande att apputvecklare inte har högre prioritet på säkerhet, då det kan utsätta användare för stora risker, säger Mats Ekdahl, säkerhetsexpert hos Check Point Software.
Felkonfigureringarna relaterar till hur apparna får tillgång till olika funktioner och tjänster som de behöver, bland annat pushnotiser och molnlagring. Utvecklare måste kunna skicka pushnotiser för att interagera med användare. De flesta pushnotistjänster kräver dock en nyckel för att kunna identifiera varifrån förfrågan kommer. Check Point kunde konstatera att utvecklarna bäddat in nycklarna i flera av apparna. Även om informationen från pushnotistjänsten inte i sig behöver vara känslig gör möjligheten att skicka meddelanden på utvecklarens vägnar det mycket lockande för cyberkriminella. De inbäddade nycklarna identifierades bland annat i den populära astrologiappen Astro Guru och i appen Logo Maker, som kan användas för att skapa logotyper. Båda dessa appar har laddats ner 10 miljoner gånger.
Molnlagring i mobilapplikationer är en smart lösning för att komma åt filer som antingen delas av utvecklare eller den installerade appen. Check Point hittade nycklar för att komma åt sådan molnlagring exponerad i flera appar, bland annat i appen Screen Recorder, som möjliggör skärminspelningar, och som har laddats ner över 10 miljoner gånger, samt i fax-appen iFax som har cirka 500 000 nedladdningar.
Check Point Software har kontaktat Google och utvecklarna av samtliga appar för att informera dem om resultaten. Endast en av apparna har hittills ändrat sin konfigurering.