KBC Mobile Banking app voor Android kampte met beveiligingslek
De Mobile Banking app van KBC werd ondertussen al meer dan 5.000 keer gedownload. Een Android-ontwikkelaar bracht aan het licht dat een vorige versie van deze app niet zorgvuldig omsprong met gevoelige gegevens.
De app van KBC hebben we in september al gereviewed. Begin november ontdekte een Android-ontwikkelaar echter een privacyprobleem. Op het mobiele besturingssysteem Android kunnen apps informatie bijhouden in logcat. Logcat is een logboek waar dan later kan in gezocht worden bij bugs. Wanneer een app crasht kan de logcat naar de maker van de app verzonden worden. Deze informatie zou anoniem moeten zijn en houdt enkel gegevens bij over de werking van je smartphone of tablet. Een ontwikkelaar kan hiermee de bug opsporen in zijn app en het probleem oplossen. Dit logboek is toegankelijk voor alle apps. Als een app informatie in het logboek plaatst dan kan deze ook door een andere app gelezen worden.
Tijdens de ontwikkeling van de KBC Mobile Banking app werd eveneens gebruik gemaakt van logcat om na te gaan of alle onderdelen van de app correct werkten. In het logboek was bij deze testversie van de app dan heel wat informatie terug te vinden. Ook het klantennummer en andere persoonlijke informatie was op dat moment terug te vinden.
En toen zagen de ontwikkelaars iets over het hoofd. Wanneer alle tests waren voltooid zijn ze vergeten om de app te herprogrammeren zodat deze geen gevoelige gegevens meer in logcat plaatste. Het gevolg was dat in de logcat van elke Android-smartphone met de KBC Mobile Banking App persoonlijke informatie terug te vinden was. Deze kon makkelijk door een andere app uitgelezen worden en openbaar op internet gepubliceerd worden.
Steven Van Bael, Android ontwikkelaar voor Mondial Telecom, ontdekte dit beveiligingslek en informeerde de ontwikkelaars van de KBC-app. De applicatie kreeg enkele dagen later een update waarin dit lek gedicht was. Zorg er dus zeker voor dat je de meest recente versie van deze app gebruikt! Deze kan je hier downloaden.
Bron: blog van Steven Van Bael
Lees ook:
Loading ...
