Najpopularnija kineska aplikacija za online šoping može špijunirati korisnike; 'Ovo nikad prije nismo vidjeli'
Pinduoduo navodno može zaobići sigurnosne postavke mobitela i pratiti aktivnost u drugim aplikacijama
Prema stručnjacima za kibernetičku sigurnost, jedna od najpopularnijih aplikacija za kupnju u Kini Pinduoduo, koja prodaje odjeću, namirnice i skoro sve drugo i koja ima više od 750 milijuna korisnika mjesečno, može zaobići sigurnosne postavke na mobitelu kako bi pratila aktivnosti na drugim aplikacijama, provjeravala obavijesti, čitala privatne poruke i mijenjala postavke, doznaje CNN. Kada je aplikacija jednom instalirana teško ju je ukloniti.
Dok puno aplikacija prikuplja velike količine korisničkih podataka, često bez korisnikove suglasnosti, stručnjaci kažu da je kineski gigant e-trgovine Pinduoduo podigao razinu kršenja privatnosti i sigurnosti na neviđene razine.
Korištene su ranjivosti Androida
Detaljno istražujući, CNN je razgovarao sa stručnjacima za kibernetičku sigurnost u Aziji, Europi i SAD-u, kao i sa mnogim sadašnjim i bivšim zaposlenicima Pinduoduoa. Više stručnjaka identificiralo je prisutnost zlonamjernog softvera u aplikaciji Pindudduo koji je iskorištavao ranjivosti u operativnim sustavima Androida. Špijuniraju korisnike i konkurente da bi povećali prodaju, kažu stručnjaci.
“Nismo nikad vidjeli da neka aplikacija kao ova pokušava ostvariti pristup stvarima kojima ne bi trebala imat pristup”, rekao je Mikko Hyppoenen, glavni istraživač u finskoj tvrtki za cyber sigurnost WithSecure. Otkriće je skrenulo pozornost i na međunarodnu sestrinsku aplikaciju Temu koja se brzo širi zapadnim tržištima. Iako Temu nije umiješana, navodne aktivnosti sestrinske aplikacije istog vlasnika Pinduoduoa, riskiraju bacanje sumnje i na tu aplikaciju.
Ne postoje dokazi da je Pnduoduo predavao podatke kineskoj vladi, ali Peking ima značajan utjecaj na tvrtke pod svojom jurisdikcijom, pa postoji zabrinutost da bi svaka tvrtka koja posluje u Kini mogla biti prisiljena na suradnju s kineskom vladom. I Bloombergovo izvješće kaže da je ruska tvrtka za kibernetičku sigurnost također identificirala potencijalni zlonamjerni softver u aplikaciji iako je Pinduoduo odbacio optužbe.
Tri puta je vrijedniji od eBaya
Pinduoduo ima tržišnu vrijednost tri puta veću od eBaya, a baza podataka čini im tri četvrtine internetske populacije u Kini. Startup je 2015. godine u Šangaju osnovao bivši Googleov zaposlenik Colin Huang i od tada se borio za etabliranje na tržištu kojim je dugo dominirala Alibaba. Uspjeli su nudeći velike popuste i fokusirajući se na ruralna područja s nižim prihodima. Huang je 2020. godine odstupio s mjesta izvršnog direktora i godinu kasnije dao je ostavku na mjesto predsjednika.
Prema jednom zaposleniku Pinduoduoa, tvrtka je 2020. godine osnovala tim od oko 100 inženjera i produkt managera koji su istraživali ranjivost Android telefona i razvijali način da to iskoriste i pretvore u profit. Prikupljanjem opsežnih podataka o aktivnostima korisnika, tvrtka je uspjela stvoriti portret navika, interesa i preferencija korisnika, kaže izvor. Tako su poboljšali personalizirane push obavijesti i oglase, privlačeći korisnike da otvore aplikaciju i naruče. Nakon što su se pojavila pitanja o njihovim aktivnostima, tim je početkom ožujka raspušten.
Najopasniji zloćudni softver koji je ikad pronađen u mainstreamu
Najjače svjetske tvrtke za cyber sigurnost provele su neovisnu analizu verzije aplikacije objavljene krajem veljače. Google je u ožujku suspendirao Pinduoduo rekavši da su pronašli zlonamjerni softver u verzijama aplikacije izvan Google Playa koji nije dostupan u Kini.
Stručnjaci su pronašli kod dizajniran za postizanje “eskalacije privilegija”, vrste cyber napada koji iskorištava ranjivi operativni sustav kako bi postigao višu razinu pristupa informacijama. Ovaj zlonamjerni softver stručnjaci opisuju kao najopasniji ikada pronađen među mainstream aplikacijama i da nešto takvo nikada prije nisu sreli.
Prve sumnje objavljene su u veljači
Prve sumnje o zlonamjernom softveru u Pindudoduovoj aplikaciji iznesene su krajem veljače u izvješću kineske tvrtke za kibernetičku sigurnost Dark Navy. Nisu izravno imenovali diva e-trgovine, ali se izvješće brzo proširilo. Pinduoduo je ubrzo izbacio novu verziju aplikacije uklonivši propuste, kažu stručnjaci za CNN. Dva dana kasnije, ukinuli su tim inženjera koji je na tome radio, te su mnogi premješteni u Temu.
Zakon o zaštiti osobnih podataka propisuje da nitko ne smije nezakonito prikupljati, obrađivati i prenositi osobne podatke. Pinduoduov zlonamjerni softver predstavlja kršenje tih zakona, kažu stručnjaci za CNN.