Aptoide: Datensätze von Nutzern des alternativen App Stores entwendet

Wer den Google Play Store nicht nutzen möchte oder kann, hat die Mög­lich­keit auf alternative App Stores für Android zuzugreifen. Die Plattform Aptoide konnte 49 Millionen registrierte Nutzer für sich begeistern. Durch eine Sicherheitslücke wurden nun jedoch viele Datensätze geleakt. Wie ZDNet berichtet, wurden die Kundendaten von mindestens 20 Millionen Nutzern ge­stoh­len. Die Datensätze bestehen aus Mails, IP-Adressen, Namen und Passwörtern. Die Pass­wör­ter sind als Hashwert, der ohne Zugabe von Salt und Pepper berechnet wird, gespeichert.

Obwohl das Passwort damit nur verschlüsselt vorliegt, kann der Hash mit Datensätzen aus Leaks von anderen Plattformen verknüpft werden. Ohne die Zugabe des Salts wandelt die Hashfunktion das gleiche Passwort immer in denselben Hashwert um. Zudem sind Replay-Angriffe möglich, wenn das Passwort vor der Übermittlung durch den Client gehasht wird. Aus dem alternativen App Store Aptoide wurden zahlreiche Nutzerdaten entwendet.

Telefonnummern wurden nicht gespeichert

Weitere sensible Informationen wie Kre­dit­kar­ten­da­ten, Telefonnummern und Wohnorte wur­den nicht entwendet. Das hat den Grund, dass die­se Daten gar nicht erst abgefragt und ge­spei­chert wurden. Momentan arbeitet Aptoide daran, den Leak aufzuarbeiten und die Lücken zu schließen. Aktuell ist es daher nicht mehr möglich, einen neuen Account anzulegen. Den Nutzern wird dringend empfohlen, ein neues Passwort festzulegen. Wer das Passwort auch bei anderen Diensten genutzt hat, sollte das Passwort natürlich auch dort ändern.

Ob man selbst von dem Datenleck betroffen war, lässt sich über die Seite des Dienstes "Have I been pwned?" herausfinden. Der Nutzer muss lediglich seine Mail-Adresse eingeben. An­schlie­ßend wird überprüft, ob es in der Vergangenheit einen Angriff, bei dem ein mit der E-Mail verknüpfter Da­ten­satz entwendet wurde, gegeben hat. Natürlich werden in der Da­ten­bank nur Informationen zu bekanntgewordenen Attacken gespeichert. Ein negatives Er­geb­nis schließt also nicht aus, dass die Daten nicht doch entwendet und weiterverkauft wurden.