Datenleck bei beliebter Android-App: 1,5 Millionen Nutzerbilder ungeschützt im Netz

Im Google Play Store gibt es Millionen von Apps, doch nicht alle davon tun das, was sie sollen. Sicherheitsforscher haben nun eine Reihe von Anwendungen identifiziert, die gravierende Sicherheitslücken enthalten.

In einem Forbes-Bericht heißt es, dass eine scheinbar harmlose App namens Video AI Art Generator & Maker des Entwicklers Codeway, die knapp eine halbe Million Mal installiert wurde, sämtliche Bilder und Videos ihrer Nutzer geleakt hat. Über 12 TB an Daten mit 1,5 Millionen Bildern und fast 400.000 Videos sollen frei verfügbar im Netz gelandet sein.

Der Vorfall geschah nicht aus böser Absicht, sondern lag an einem Konfigurationsfehler der Google Cloud Services. Durch diesen konnte jeder auf die gespeicherten Daten zugreifen, ohne sich zuvor identifizieren zu müssen. Für die Nutzer der App ist das eine Katastrophe.

Die App wird mittlerweile nicht mehr im Google Play Store angeboten, da Google auf die Beschwerden der Nutzer schnell reagierte und sie entfernte. Sie war seit Juni 2023 gelistet und diente dazu, Bilder und Videos einfach und schnell mit KI zu generieren. Die geleakten Bilder entstanden also alle bei der Nutzung der App, können aber auch private Inhalte enthalten.

Nicht der einzige Leak

Erschwerend kommt hinzu, dass noch eine weitere App desselben Entwicklers namens IDMerit, die zur Identitätsprüfung verwendet wird, eine ebenso schwere Sicherheitslücke aufwies. Diese sorgte aber nicht für den Abfluss von Bilddaten, sondern legte stattdessen sensible, persönliche Informationen offen. Dazu gehören:

• Vollständige Namen
• Adressen
• Postleitzahlen
• Geburtsdaten
• Personalausweisnummern
• Telefonnummern
• Geschlecht
• E-Mail-Adressen
• Telekommunikations-Metadaten

Die konnten unter anderem Personen in den USA und 25 anderen Ländern, darunter Deutschland, Frankreich, China und Brasilien, zugeordnet werden. Personenbezogene Daten wie diese können von Angreifern genutzt werden, um gezielte Phishing-Attacken zu starten oder Ihre Identität zu stehlen.

Wenn Sie eine App des Entwicklers Codeway auf Ihrem Gerät installiert haben, sollten Sie diese umgehend deinstallieren. Prüfen Sie außerdem alle eingehenden Nachrichten oder E-Mails auf Anzeichen für Phishing und reagieren Sie nicht auf verdächtige Anfragen.

So schützen Sie sich

Bei der Installation neuer Apps sollten Sie immer darauf achten, ob diese aus vertrauenswürdiger Quelle stammen. Der Google prüft zwar alle Apps, die im Play Store angeboten werden, kann aber nicht garantieren, dass sie hundertprozentig sicher sind. Das liegt immer noch in der Verantwortung der Entwickler.

Prüfen Sie also am besten, wie viele Apps der Anbieter bereits veröffentlicht hat, und ob diese vertrauenswürdig wirken. Lassen Sie sich nicht von Hypes und Trends, wie beispielsweise Bildbearbeitung mit KI, dazu verleiten, verschiedene Gratis-Apps zu installieren, die nicht ausreichend geprüft sind.

Achten Sie darauf, welche Berechtigungen die Apps auf Ihrem Gerät verlangen. Verschiedene Gütesiegel wie das „Verified Developer“-Badge oder dieses Symbol bei VPN-Apps deuten auf eine ausreichend geprüfte App hin. Aktivieren Sie zudem immer Google Play Protect.