Pesquisadores fazem análise preliminar de segurança no aplicativo Voilà

Segundo os especialistas, as fotos de rosto do aplicativo são vinculadas a detalhes específicos de instalação do usuário os quais, no caso de um ciberataque, podem acabar nas mãos dos atacantes

Compartilhar:

A Check Point analisou preliminarmente a segurança no Voilà AI Artist, o aplicativo popular que transforma uma pessoa em um avatar de desenho animado. Embora não haja sinais de alerta evidentes no momento, a equipe de pesquisadores da CPR destaca o risco potencial no fato de que o aplicativo Voilà envia fotos de rostos a seus servidores para processamento.

 

O aplicativo inclui identidade de instalação específica e exclusiva gerada pelo Google Play quando envia fotos para verificação. As fotos de rosto são vinculadas a detalhes específicos de instalação do usuário os quais, no caso de um ataque cibernético, essas fotos e os detalhes do usuário podem acabar em mãos dos atacantes.

 

A seguir estão as avaliações iniciais da equipe da Check Point Research:

 

O aplicativo foi escrito por uma empresa LLP legítima registrada no Reino Unido (UK), a Wemagine.AI.

  Em termos de permissões, o aplicativo utiliza apenas o mínimo necessário para a operação.

  O aplicativo verifica se as imagens contêm rosto(s) e, somente após essa verificação, o aplicativo as envia ao servidor para processamento.

  Todas as comunicações com o servidor são realizadas usando HTTPS, então, o tráfego é criptografado out-of-the-box .

  Sempre que possível o aplicativo está usando bibliotecas de código aberto conhecidas.

  Quando a foto é enviada para o servidor, o aplicativo inclui a ID (identidade) de instalação específica e exclusiva (vdid) que foi gerada pelo Google Play, potencialmente ligando faces à instalação específica.

 

“A maioria dos usuários, provavelmente, presume que o processamento do aplicativo Voilà é feito localmente em seus smartphones. Este não é o caso. Um fato não evidente aqui é que a empresa envia fotos de rostos a seus servidores para processamento. Quando uma foto de rosto é enviada ao servidor da empresa, o aplicativo inclui IDs (identidades) de instalação exclusivas que foram geradas pelo Google Play. Assim, cada foto é empacotada com detalhes de identificação do usuário”, explica Yaniv Balmas, chefe de pesquisa cibernética da Check Point Software.

 

Balmas alerta ainda que, embora esse fato seja mencionado na política de privacidade da empresa, abre-se a possibilidade de uso indevido dos dados pela própria empresa ou por terceiros. “Por exemplo, se a empresa for invadida, os atacantes podem potencialmente reunir uma grande base de dados de todos os rostos dos usuários do aplicativo. Não temos como saber se a empresa está fazendo algo vedado ou malicioso, mas considero importante que os novos usuários estejam cientes dos riscos inerentes ao envio de conteúdo a servidores para processamento”.

Conteúdos Relacionados

Security Report | Overview

CTIR Gov orienta governo a monitorar sistemas de proteção após Apagão Cibernético

Com a identificação do incidente que colheu a plataforma Falcon, da CrowdStrike, e da Microsoft, O órgão de Prevenção a...
Security Report | Overview

Incidentes de TI estão no topo dos riscos para a continuidade dos negócios, aponta pesquisa

1ª Pesquisa Nacional sobre Maturidade em Gestão de Crises e Continuidade de Negócios, apresentada no segundo trimestre deste ano, identifica...
Security Report | Overview

54% das empresas consideram erros humanos um vetor crítico de ciberataques

Estudo da ManageEngine revelou que ameaças externas ainda são a maioria entre os golpes realizados, mas falhas de funcionários preocupam
Security Report | Overview

Apenas 23% das senhas ativas exigem mais de um ano para serem decifradas

Levantamento da Kaspersky analisa 193 milhões de senhas na darknet e indica que 87 milhões delas poderiam ser descobertas em...