עשרה מחשבים שכורים בענן של אמזון עבדו על משימה אחת: להוריד אפליקציות אנדרואיד מכמה חנויות, לפרק אותן בחזרה לקוד ולחפש בתוכן סיסמאות ומפתחות שמישהו שכח שם. 1.8 מיליון אפליקציות עברו בצינור הזה. מה שנמצא ואומת נשלח לקבוצת טלגרם.

מה קרה

התיאור הזה מגיע מדוח בן 154 עמודים שפרסמה אנת'רופיק, החברה שמאחורי קלוד, על ניסיונות לגייס את המודלים שלה לפעילות תקיפה בין דצמבר 2025 לאוגוסט 2026. התוקף שהריץ את סריקת האפליקציות הוא לפי הדוח דובר צרפתית שמסומן GTG-50014 ומוכר גם בכינויים MeowSHA ו-frkoo, ולהערכת החברה הוא מקורב לקבוצת הסחיטה ShinyHunters. הכלי שסרק את הקוד, TruffleHog, הוא כלי חופשי שחברות משתמשות בו בדיוק כדי למצוא את הטעויות האלה אצל עצמן.

וזאת הטעות: כשמפתח בונה אפליקציה הוא צריך לתת לה דרך לדבר עם השרתים שלו או עם שירותים אחרים, ולפעמים הוא כותב את המפתח ישר בתוך הקוד של האפליקציה במקום להשאיר אותו בצד השרת. האפליקציה שמותקנת אצלכם היא בסך הכול קובץ שאפשר להוריד ולפרק, והמפתח יוצא איתו. בעולם המקצועי קוראים לשאריות האלה hardcoded secrets.

במקרה אחר שמתואר בדוח נכנסו תוקפים לספק תוכנה, ומשם הגיעו למידע של כ-200 מלקוחותיו. בתוך כ-34 שעות הם חילצו יותר מ-2,100 סטים של token-ים של Azure AD, כרטיסי כניסה שמחליפים סיסמה, מיותר מ-40 ארגונים. אנת'רופיק כותבת שכמעט כל העבודה הזאת נעשתה בידי סוכני AI, ושבחדירה אחרת לספק טכנולוגי הוצא יותר מטרהבייט אחד של מידע, כולל מיליוני רשומות של כרטיסי אשראי. כל המספרים האלה מגיעים מהחברה שמדווחת על שימוש לרעה במוצר שלה עצמה, ואף גורם חיצוני לא אימת אותם.

למה זה חשוב לכם

האפליקציות שנסרקו הן אפליקציות רגילות מחנויות רגילות, כולל כאלה שיש לכם בטלפון. המפתח שנמצא בתוך אפליקציה לא פותח את המכשיר שלכם, הוא פותח את השרת של מי שבנה אותה, ושם יושב המידע שמסרתם: כתובת, טלפון, היסטוריית הזמנות ולפעמים גם אמצעי תשלום. כשאתם קוראים בעוד חודשיים שחברה כלשהי דלפה, לפעמים זאת בדיוק הדרך שבה זה התחיל. מה שהשתנה הוא לא הטעות של המפתחים, שקיימת שנים, אלא המחיר של איתורה. פעם זה היה חיפוש ידני בכמה עשרות אפליקציות. עכשיו זה צינור שרץ לבד על מיליונים.

מה עושים?

מחקו אפליקציות שאתם כבר לא משתמשים בהן, ובעיקר כאלה שפתחתם בהן חשבון. הסרה מהטלפון לא מוחקת את החשבון, ולכן שווה להיכנס להגדרות השירות ולבקש למחוק גם אותו.

אל תשתמשו בסיסמה של המייל או של הבנק באפליקציות קטנות. הדליפה מתחילה בשרת של המפתח, והסיסמה שתיפול שם היא זו שינסו אחר כך במקומות החשובים.

הפעילו אימות דו-שלבי לפחות במייל, ברשתות החברתיות ובכל שירות ששמור בו אמצעי תשלום.

כשאתם משלמים באפליקציה, עדיף לשלם דרך Apple Pay או Google Pay או בכרטיס וירטואלי מחברת האשראי, כך שמספר הכרטיס האמיתי לא נשמר אצל הספק.

המפתחים ששכחו מפתחות בתוך הקוד לא עשו השבוע שום דבר חדש. פשוט מישהו סוף סוף הצליח לבדוק את כולם.