CyStack Blog

Nơi CyStack cung cấp cho bạn những tin tức, xu hướng và cảnh báo mới nhất về ngành công nghệ bảo mật và các sản phẩm, dịch vụ của chúng tôi.

Hàng nghìn ứng dụng di động “trưng bày” nhiều dữ liệu “bí mật”

Trang chủ BlogHàng nghìn ứng dụng di độ...

Hàng nghìn ứng dụng di động “trưng bày” nhiều dữ liệu “bí mật”

3 phút đọc25/06/2018

Trung Nguyen

Hacker. Builder. Educator. On a mission to make the internet safer.

0 lượt xem

Phơi bày dữ liệu “nóng” của hàng nghìn ứng dụng di động
Các nhà nghiên cứu bảo mật di động đã phát hiện cơ sở dữ liệu Firebase của hàng nghìn ứng dụng di động iOS và Android đang “trưng bày” ra hơn 100 triệu bản ghi dữ liệu, bao gồm mật khẩu văn bản thuần túy, ID người dùng, hồ sơ tài chính,…
du-lieu-ung-dung
Cơ sở dữ liệu Firebase của hàng nghìn ứng dụng di động iOS và Android đang bị “phơi bày” 100 triệu bản ghi dữ liệu, bao gồm mật khẩu văn bản thuần túy, ID người dùng, vị trí và trong một số trường hợp, hồ sơ tài chính như giao dịch ngân hàng và tiền điện tử.
Dịch vụ Firebase của Google là một trong những nền tảng phổ biến nhất dành cho các ứng dụng di động và web. Nó cung cấp cho nhà phát triển cơ sở dữ liệu dựa trên nền tảng Cloud và lưu trữ dữ liệu ở định dạng JSON, đồng thời đồng bộ hóa dữ liệu đó trong thời gian nhanh nhất với tất cả khách hàng.
Các nhà nghiên cứu từ hãng bảo mật di động Appthority đã phát hiện ra rằng nhiều nhà phát triển ứng dụng không bảo mật đúng đúng điểm cuối back-end của Firebase bằng Firewalls, để lại hàng trăm gigabyte dữ liệu nhạy cảm của khách hàng có nguy cơ bị truy cập và đánh cắp bởi bất kỳ ai.
Vì Firebase cung cấp cho nhà phát triển ứng dụng máy chủ API (ví dụ ở bên dưới) để truy cập cơ sở dữ liệu với những dịch vụ liên quan, kẻ tấn công có thể truy cập vào dữ liệu không được bảo mật bằng cách thêm cụm “/.json”, mà không phải để lại tên ở cuối tên máy chủ.
Ví dụ:

Sample API URL: https://<Firebase project name>.firebaseio.com/<database.json>

Payload to Access: Data https://<Firebase project name>.firebaseio.com/.json

Để tìm ra mức độ nghiêm trọng của vấn đề này, các nhà nghiên cứu đã quét hơn 2,7 triệu ứng dụng và thấy rằng hơn 3.000 ứng dụng, trong đó có 2,446 ứng dụng Android và 600 ứng dụng iOS đã bị rò rỉ toàn bộ 2.300 cơ sở dữ liệu với hơn 100 triệu bản ghi.
mobile-security-firebase-database
Ứng dụng bị ảnh hưởng thuộc nhiều danh mục như viễn thông, tiền điện tử, tài chính, dịch vụ bưu chính, tổ chức giáo dục, khách sạn, sức khỏe, thể dục, công cụ và hơn thế nữa. Các nhà nghiên cứu cũng đã cung cấp một phân tích ngắn gọn về dữ liệu mà họ đã thử tải xuống từ các ứng dụng không có tính bảo mật cao. Kết quả thống kê cho thấy bộ dữ liệu bị “phơi bày” bao gồm:

2,6 triệu mật khẩu văn bản và ID người dùng
Hơn 4 triệu hồ sơ PHI (Protected Health Information) cùng với nhiều tin nhắn trò chuyện khác.
25 triệu bản ghi định vị GPS
50.000 hồ sơ tài chính bao gồm giao dịch ngân hàng, thanh toán và giao dịch Bitcoin
Hơn 4,5 triệu dữ liệu người dùng từ Facebook, LinkedIn, Firebase

Ngay từ đầu, tất cả điều này xảy ra vì dịch vụ Google Firebase không bảo mật dữ liệu người dùng theo mặc định, yêu cầu nhà phát triển triển phải khai báo người dùng thật một cách rõ ràng trên tất cả cơ sở dữ liệu để bảo vệ dữ liệu của họ khỏi bị truy cập trái phép.
Các nhà nghiên cứu cho biết họ đã liên lạc với Google và cung cấp danh sách tất cả các cơ sở dữ liệu ứng dụng có bảo mật yếu kém, đồng thời cũng liên hệ với một số nhà phát triển ứng dụng giúp họ khắc phục sự cố này.
Độc giả hứng thú với bảo mật trên thiết bị di động có thể đọc thêm về Ứng dụng đánh cắp mật khẩu Facebook trên Android Play Store để nắm được những kiến thức cần thiết nhất trong việc bảo vệ thông tin trên thiết bị của bạn.

Về tác giả

Trung NguyenHacker. Builder. Educator. On a mission to make the internet safer.

Hacker. Builder. Educator. On a mission to make the internet safer.

Cập nhật thông tin mới nhấtNhận các thông tin mới nhất về mối đe dọa, báo cáo an ninh mạng từ CyStack về hòm thư điện tử của bạn

Thảo luận (0)

Đăng nhập để thảo luận

Bài viết liên quan

{"success":true,"head":"<title>Hàng nghìn ứng dụng di động “trưng bày” nhiều dữ liệu “bí mật” - CyStack Blog</title>\n<meta name=\"description\" content=\"Cơ sở dữ liệu Firebase của hàng nghìn ứng dụng di động iOS và Android đang bị lộ.\"/>\n<meta name=\"robots\" content=\"nofollow, noindex\"/>\n<meta property=\"og:locale\" content=\"en_US\" />\n<meta property=\"og:type\" content=\"article\" />\n<meta property=\"og:title\" content=\"Hàng nghìn ứng dụng di động “trưng bày” nhiều dữ liệu “bí mật”\" />\n<meta property=\"og:description\" content=\"Cơ sở dữ liệu Firebase của hàng nghìn ứng dụng di động iOS và Android đang bị lộ.\" />\n<meta property=\"og:url\" content=\"https://blog.cystack.org/vi/blog/2018/06/25/hang-nghin-ung-dung-di-dong-trung-bay-nhieu-du-lieu-bi-mat/\" />\n<meta property=\"og:site_name\" content=\"CyStack Blog\" />\n<meta property=\"article:author\" content=\"CEO@CyStack\" />\n<meta property=\"article:tag\" content=\"dữ liệu\" />\n<meta property=\"article:tag\" content=\"firebase\" />\n<meta property=\"article:tag\" content=\"ứng dụng di động\" />\n<meta property=\"article:tag\" content=\"vi\" />\n<meta property=\"article:section\" content=\"Đánh giá bảo mật\" />\n<meta property=\"og:updated_time\" content=\"2026-06-23T20:08:30+07:00\" />\n<meta property=\"og:image\" content=\"https://s.cystack.net/resource/home/content/03133810/Thumbnail-CyStack.png\" />\n<meta property=\"og:image:secure_url\" content=\"https://s.cystack.net/resource/home/content/03133810/Thumbnail-CyStack.png\" />\n<meta property=\"og:image:width\" content=\"1920\" />\n<meta property=\"og:image:height\" content=\"1081\" />\n<meta property=\"og:image:alt\" content=\"ứng dụng di động\" />\n<meta property=\"og:image:type\" content=\"image/png\" />\n<meta property=\"article:published_time\" content=\"2018-06-25T09:52:22+07:00\" />\n<meta property=\"article:modified_time\" content=\"2026-06-23T20:08:30+07:00\" />\n<meta name=\"twitter:card\" content=\"summary_large_image\" />\n<meta name=\"twitter:title\" content=\"Hàng nghìn ứng dụng di động “trưng bày” nhiều dữ liệu “bí mật”\" />\n<meta name=\"twitter:description\" content=\"Cơ sở dữ liệu Firebase của hàng nghìn ứng dụng di động iOS và Android đang bị lộ.\" />\n<meta name=\"twitter:image\" content=\"https://s.cystack.net/resource/home/content/03133810/Thumbnail-CyStack.png\" />\n<meta name=\"twitter:label1\" content=\"Written by\" />\n<meta name=\"twitter:data1\" content=\"Trung Nguyen\" />\n<meta name=\"twitter:label2\" content=\"Time to read\" />\n<meta name=\"twitter:data2\" content=\"3 minutes\" />\n<script type=\"application/ld+json\" class=\"rank-math-schema\">{\"@context\":\"https://schema.org\",\"@graph\":[{\"@type\":\"Organization\",\"@id\":\"https://blog.cystack.org/#organization\",\"name\":\"CyStack\",\"url\":\"https://blog.cystack.org\"},{\"@type\":\"WebSite\",\"@id\":\"https://blog.cystack.org/#website\",\"url\":\"https://blog.cystack.org\",\"name\":\"CyStack\",\"publisher\":{\"@id\":\"https://blog.cystack.org/#organization\"},\"inLanguage\":\"en-US\"},{\"@type\":\"ImageObject\",\"@id\":\"https://s.cystack.net/resource/home/content/03133810/Thumbnail-CyStack.png\",\"url\":\"https://s.cystack.net/resource/home/content/03133810/Thumbnail-CyStack.png\",\"width\":\"1920\",\"height\":\"1081\",\"inLanguage\":\"en-US\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https://blog.cystack.org/vi/blog/2018/06/25/hang-nghin-ung-dung-di-dong-trung-bay-nhieu-du-lieu-bi-mat/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":\"1\",\"item\":{\"@id\":\"https://blog.cystack.org\",\"name\":\"Home\"}},{\"@type\":\"ListItem\",\"position\":\"2\",\"item\":{\"@id\":\"https://blog.cystack.org/vi/blog/2018/06/25/hang-nghin-ung-dung-di-dong-trung-bay-nhieu-du-lieu-bi-mat/\",\"name\":\"H\\u00e0ng ngh\\u00ecn \\u1ee9ng d\\u1ee5ng di \\u0111\\u1ed9ng \\u201ctr\\u01b0ng b\\u00e0y\\u201d nhi\\u1ec1u d\\u1eef li\\u1ec7u \\u201cb\\u00ed m\\u1eadt\\u201d\"}}]},{\"@type\":\"WebPage\",\"@id\":\"https://blog.cystack.org/vi/blog/2018/06/25/hang-nghin-ung-dung-di-dong-trung-bay-nhieu-du-lieu-bi-mat/#webpage\",\"url\":\"https://blog.cystack.org/vi/blog/2018/06/25/hang-nghin-ung-dung-di-dong-trung-bay-nhieu-du-lieu-bi-mat/\",\"name\":\"H\\u00e0ng ngh\\u00ecn \\u1ee9ng d\\u1ee5ng di \\u0111\\u1ed9ng \\u201ctr\\u01b0ng b\\u00e0y\\u201d nhi\\u1ec1u d\\u1eef li\\u1ec7u \\u201cb\\u00ed m\\u1eadt\\u201d - CyStack Blog\",\"datePublished\":\"2018-06-25T09:52:22+07:00\",\"dateModified\":\"2026-06-23T20:08:30+07:00\",\"isPartOf\":{\"@id\":\"https://blog.cystack.org/#website\"},\"primaryImageOfPage\":{\"@id\":\"https://s.cystack.net/resource/home/content/03133810/Thumbnail-CyStack.png\"},\"inLanguage\":\"en-US\",\"breadcrumb\":{\"@id\":\"https://blog.cystack.org/vi/blog/2018/06/25/hang-nghin-ung-dung-di-dong-trung-bay-nhieu-du-lieu-bi-mat/#breadcrumb\"}},{\"@type\":\"Person\",\"@id\":\"https://blog.cystack.org/author/trungnh/\",\"name\":\"Trung Nguyen\",\"url\":\"https://blog.cystack.org/author/trungnh/\",\"image\":{\"@type\":\"ImageObject\",\"@id\":\"https://secure.gravatar.com/avatar/5e1e19d9b81295eeafdbc4175f18cc5b99a688411b0b5a2189c63881dff568b1?s=96&d=mm&r=g\",\"url\":\"https://secure.gravatar.com/avatar/5e1e19d9b81295eeafdbc4175f18cc5b99a688411b0b5a2189c63881dff568b1?s=96&d=mm&r=g\",\"caption\":\"Trung Nguyen\",\"inLanguage\":\"en-US\"},\"sameAs\":[\"CEO@CyStack\"],\"worksFor\":{\"@id\":\"https://blog.cystack.org/#organization\"}},{\"@type\":\"BlogPosting\",\"headline\":\"H\\u00e0ng ngh\\u00ecn \\u1ee9ng d\\u1ee5ng di \\u0111\\u1ed9ng \\u201ctr\\u01b0ng b\\u00e0y\\u201d nhi\\u1ec1u d\\u1eef li\\u1ec7u \\u201cb\\u00ed m\\u1eadt\\u201d - CyStack Blog\",\"keywords\":\"\\u1ee9ng d\\u1ee5ng di \\u0111\\u1ed9ng\",\"datePublished\":\"2018-06-25T09:52:22+07:00\",\"dateModified\":\"2026-06-23T20:08:30+07:00\",\"author\":{\"@id\":\"https://blog.cystack.org/author/trungnh/\",\"name\":\"Trung Nguyen\"},\"publisher\":{\"@id\":\"https://blog.cystack.org/#organization\"},\"description\":\"C\\u01a1 s\\u1edf d\\u1eef li\\u1ec7u Firebase c\\u1ee7a h\\u00e0ng ngh\\u00ecn \\u1ee9ng d\\u1ee5ng di \\u0111\\u1ed9ng iOS v\\u00e0 Android \\u0111ang b\\u1ecb l\\u1ed9.\",\"name\":\"H\\u00e0ng ngh\\u00ecn \\u1ee9ng d\\u1ee5ng di \\u0111\\u1ed9ng \\u201ctr\\u01b0ng b\\u00e0y\\u201d nhi\\u1ec1u d\\u1eef li\\u1ec7u \\u201cb\\u00ed m\\u1eadt\\u201d - CyStack Blog\",\"@id\":\"https://blog.cystack.org/vi/blog/2018/06/25/hang-nghin-ung-dung-di-dong-trung-bay-nhieu-du-lieu-bi-mat/#richSnippet\",\"isPartOf\":{\"@id\":\"https://blog.cystack.org/vi/blog/2018/06/25/hang-nghin-ung-dung-di-dong-trung-bay-nhieu-du-lieu-bi-mat/#webpage\"},\"image\":{\"@id\":\"https://s.cystack.net/resource/home/content/03133810/Thumbnail-CyStack.png\"},\"inLanguage\":\"en-US\",\"mainEntityOfPage\":{\"@id\":\"https://blog.cystack.org/vi/blog/2018/06/25/hang-nghin-ung-dung-di-dong-trung-bay-nhieu-du-lieu-bi-mat/#webpage\"}}]}</script>\n"}

Sample API URL: https://<Firebase project name>.firebaseio.com/<database.json>

Payload to Access: Data https://<Firebase project name>.firebaseio.com/.json

2,6 triệu mật khẩu văn bản và ID người dùng
Hơn 4 triệu hồ sơ PHI (Protected Health Information) cùng với nhiều tin nhắn trò chuyện khác.
25 triệu bản ghi định vị GPS
50.000 hồ sơ tài chính bao gồm giao dịch ngân hàng, thanh toán và giao dịch Bitcoin
Hơn 4,5 triệu dữ liệu người dùng từ Facebook, LinkedIn, Firebase