Algumas versões do Spotify para Android apresentam falha de segurança

De acordo com uma análise feita pela empresa de segurança Trend Micro, versões anteriores à 1.1.1 do Spotify para Android↳Android46 conteúdosAndroid push notifications com Quasar Framework, Firebase e integração com WordPressDev (Back & Front) · mai 2019O X do Xamarin Forms – O guia das funcionalidades nativas - Parte 02: AndroidDev (Back & Front) · abr 2019Modularização de AndroidDev (Back & Front) · ago 2019Ver tudo em Dev (Back & Front) → apresentam uma brecha bem preocupante. Por meio dela, criminosos conseguem controlar o que é exibido na interface do aplicativo, podendo inserir ali páginas falsas e lançar ataques de phishing para roubar dados.

A vulnerabilidade, segundo o relato no blog da Trend, está em um recurso usado normalmente para exibir páginas do próprio Spotify sobre o aplicativo. Os dados dos sites são “exportados para se tornarem visíveis a outros programas instalados no telefone”, mas a falha faz com que outros apps ou processos também consigam ativar a função.

Com a ajuda de algum software malicioso que o usuário pode instalar sem querer no smartphone, o cracker pode aproveitar a brecha e começar a controlar o que o Spotify mostra. Nos testes, a Trend conseguiu inserir na tela do app a home Google, mas um cibercriminoso pode fazer, por exemplo, o programa exibir uma página falsa do serviço, pedindo por dados do cliente.

Cair no golpe não é difícil, já que o aplicativo tem uma versão premium e que a solicitação por dados viria de dentro do próprio programa. Assim, um usuário poderia inserir na tela suas informações e número de cartão de crédito, acreditando se tratar de um processo de renovação de assinatura ou checagem de cadastro, por exemplo.

Evitar ter as informações roubadas também não é difícil. No caso dessa falha no Spotify, especificamente, basta seguir o conselho da empresa e atualizar o app, já que ela não aparece nas versões atuais. Também vale desconfiar de quaisquer pedidos por dados sensíveis, como documentos e número de cartão, e isso é algo que ajuda a fugir do phishing de forma geral.

Com informações de Info