Wi-Fi热点查找器泄漏了200万个密码

Android应用程序开发人员在名为WiFi Finder的移动应用程序背后泄露了超过200万个用于Wi-Fi热点的密码。密码是GDI基金会研究人员发现的不安全数据库的一部分。Android应用程序本身不仅帮助用户找到Wi-Fi热点，还提供了由应用程序用户众包的用户名和密码。据研究人员称，总数据库包括200万个用户名和密码对，其中有数万个热点位于美国，根据TechCrunch的报道，该公司首先报告了漏洞服务器。

GDI基金会表示，开发人员位于中国，而该应用程序已被用户下载“数千”次。数据包括公共和私人热点，但也有“不计其数”的家庭Wi-Fi热点。

“暴露的数据不包括任何Wi-Fi网络所有者的联系信息，但地图上相关的每个Wi-Fi网络的地理位置通常包括完全住宅区的网络或没有可识别的业务的网络。”TechCrunch报道。

SiteLock的安全专家告诫说，公共Wi-Fi热点不仅会给未受保护的用户带来安全问题，而且还可能会向那些向公众提供安全问题的用户提出安全问题。“开放的Wi-Fi或不安全的Wi-Fi热点可能会导致许多不同类型的攻击情形。”SiteLock的技术架构师Logan Kipp说，“鉴于许多这些路由器似乎都是由消费者管理的，因此攻击者可以真正冒险访问路由器并修改其设置。”他提醒说，消费者和商业热点很少采取额外的安全措施来缓解中间人攻击，并阻止Wi-Fi监控和数据包嗅探工具从用户无线会话中提取私人数据。

根据TechCrunch的报告，GDI基金会研究人员发现的数据包括Wi-Fi网络名称、网络的精确地理定位、基本服务集标识符（BSSID）和以明文形式存储的网络密码。GDI基金会尝试并未能联系WiFi Finder背后的中国应用程序制造商。相反，它联系了托管不安全数据的云服务公司DigitalOcean，后者将其删除。

SiteLock的Kipp表示，WiFi Finder应用程序是许多应用程序之一，这些应用程序包含了一系列SSID（服务集标识符）数据和密码。在Google Play市场上就可以发现一些来自Instabridge的免费WiFi密码和热点，到Wifi密码查看器 - 分享无线密码和WiFi地图 - 免费密码和热点。“像这样的应用程序打开了潘多拉的盒子滥用。”Kipp表示“使用正确的标记化登录系统的公共访问热点与看似众包登录和密码凭证的应用程序之间存在很大差异。”

来源：https://threatpost.com/leaky_app_data/144029/