Мобильники Motorola сливают пользовательские пароли третьим лицам

В далеком 2011 году пользователи мобильных телефонов Motorola жаловались на форумах по поводу несанкционированного сбора конфиденциальной информации. Анализ трафика с телефона показал, что на серверы Motorola передаются, в том числе, пароли пользователей в различных социальных сервисах. Некоторая информация передается в незашифрованном виде по HTTP, что открывает возможность для MiTM-атаки.

Компания Motorola объясняла, что это часть функциональности фирменного сервиса Motoblur и обещала в будущем решить проблему.

Казалось бы, сейчас Motorola Mobility перешла в собственность компании Google — и можно было бы остановить некорректный сбор информации о пользователях. Но «прослушивающие серверы» Motorola работают до сих пор.

Американский программист Бен Линкольн опубликовал подробный разбор со скриншотами, какая информация в каких случаях отправляется на серверы Motorola с его мобильного телефона Droid X2.

Facebook и Twitter

В обоих случаев на серверы Motorola передается ваш адрес электронной почты (по HTTP) и пароль (HTTPS). Остальная информация идет через систему Motorola в незашифрованном виде, в том числе имена ваших друзей и их адреса электронной почты, содержимое сообщений, которые вы читаете или пишете, и так далее. На серверы Motorola дублируется также список изображений, которые вы загружаете.

Photobucket и Picasa

Оба сервиса передают адрес электронной почты и пароль по HTTPS, а URL’ы фотографий по открытым каналам.

Загрузка фотографий

При загрузке фотографий на удаленный сервис (Facebook, Photobucket и проч.) файлы проходят через серверы Motorola, также там сохраняется информация о названии файла вида /mnt/sdcard/dcim/Camera/2013-06-20_09-00-00_000.jpg, где в названии указано время съемки с точностью до миллисекунды.

Youtube

Motorola сохраняет почтовый адрес (HTTP) и пароль пользователя (HTTPS) Youtube.

Gmail/Google+

В Motorola не передается никакой информации.

Другое

Кроме учетных данных, сервис Motoblur собирает и некоторую другую информацию о пользователях, в том числе конфигурацию домашнего экрана, IMEI и IMSI телефона, номер абонента и название оператора, список установленных приложений, статистику использования приложений, статистику по звонкам и текстовым сообщениям, информацию о подключении/отключении Bluetooth-аксессуаров и т.д.