Gefährliche ki-apps im google play store: persönliche daten von millionen gefährdet

Ein datenleck von erschreckender größenordnung

Ein alarmierender Bericht enthüllt, dass eine Reihe von potenziell gefährlichen Apps im Google Play Store existieren. Diese Apps, oft im Bereich der KI-gestützten Bildbearbeitung und Identitätsprüfung angesiedelt, haben versehentlich die persönlichen Daten von Milliarden Android-Nutzern offengelegt. Ein besonders betroffener Fall ist die App "Video AI Art Generator & Maker" des Entwicklers Codeway, die bereits über 500.000 Mal installiert wurde.

Die ursache des lecks: fehlkonfigurierter cloud-speicher

Das Problem liegt in einer fehlerhaften Konfiguration eines Google Cloud Storage Buckets. Diese Fehlkonfiguration ermöglichte es unbefugten Dritten, auf die gespeicherten Dateien zuzugreifen, selbst ohne Authentifizierung. Über 12 TB an Mediendateien, darunter mehr als 8,27 Millionen Bilder, Videos und KI-generierte Dateien, die seit dem 13. Juni 2023 gesammelt wurden, waren dadurch zugänglich.

Sensible kyc-daten gefährdet

Die Risiken gehen jedoch noch weiter. Eine weitere App des gleichen Entwicklers, "IDMerit", hat sogenannte "Know-your-customer (KYC)“-Daten offengelegt. Diese Daten umfassen persönliche und berufliche Informationen, die Unternehmen und Finanzinstitutionen gesetzlich zur Identitätsprüfung und Risikobewertung erheben müssen. Das Leck betraf Nutzer aus den USA und 25 weiteren Ländern, darunter auch Deutschland, Frankreich, China und Brasilien.

Welche daten wurden kompromittiert?

Die offengelegten Daten umfassen eine Vielzahl sensibler Informationen, darunter:

• Vollständige Namen
• Adressen
• Postleitzahlen
• Geburtsdaten
• National IDs
• Telefonnummern
• Genders
• E-Mail-Adressen
• Telco-Metadaten

Das problem des „hardcoding“ von geheimnissen

Ein wesentlicher Faktor für diese Sicherheitslücken ist die Praxis des „Hardcoding“ von Geheimnissen, bei der sensible Informationen wie Passwörter und Verschlüsselungsschlüssel direkt in den App-Quellcode eingebettet werden. Laut Cybernews sind 72 % der im Play Store analysierten Apps davon betroffen. Malicious Bots können solche Keys in Sekunden kompromittieren.

Google play protect: ein erster schutzwall

Google Play Protect scannt zwar täglich Milliarden von Apps, doch die Entwickler müssen ebenfalls Verantwortung übernehmen. Codeway hat den Zugriff auf die Daten der IDMerit-App am 3. Februar gesichert, was zeigt, dass eine schnelle Reaktion möglich ist. Die App "Video AI Art Generator & Maker“ ist mittlerweile nicht mehr im Play Store verfügbar.

Wie können nutzer sich schützen?

Um sich vor ähnlichen Problemen zu schützen, sollten Nutzer folgende Maßnahmen ergreifen:

• Entwicklerportfolio prüfen: Achten Sie auf eine große Anzahl ähnlicher Apps eines Entwicklers.
• Verified Developer Badge suchen: Das Google-Logo zeigt, dass der Entwickler verifiziert ist.
• Auf verdächtiges Verhalten achten: Apps, die den Akku stark belasten oder ungewöhnlich günstige Pro-Abonnements anbieten, sollten kritisch betrachtet werden.
• Play Protect nutzen: Führen Sie regelmäßige Scans mit Google Play Protect durch.

Fazit: vorsicht bei ki-apps und datenschutz

Die jüngsten Vorfälle unterstreichen die Notwendigkeit, bei der Nutzung von KI-Apps im Google Play Store besonders vorsichtig zu sein. Die Verantwortung liegt sowohl bei den Entwicklern, die sichere Entwicklungspraktiken anwenden müssen, als auch bei den Nutzern, die ihre Apps kritisch prüfen und ihre Daten schützen sollten.