Gegevens van miljoenen Truecaller-gebruikers toegankelijk door lek

Truecaller is een populaire app die het telefoonboek op smartphones vervangt, probeert te achterhalen wie er via een onbekend telefoonnummer belt en biedt de mogelijkheid nummers te blokkeren. In de Android-versie van de app is een ernstige kwetsbaarheid ontdekt. Via het beveiligingslek waren gegevens van gebruikers toegankelijk voor onbevoegden. De gegevens van miljoenen gebruikers zouden hierdoor toegankelijk zijn geweest.

Het lek is ontdekt door beveiligingsonderzoekers van Cheetah Mobile. De onderzoekers stellen via het IMEI-nummer van een gebruiker allerlei gegevens te kunnen opvragen. Het gaat onder andere om de naam, het geslacht, woonadres en e-mailadres van gebruikers. Daarnaast zouden aanvallers ook instellingen van gebruikers kunnen wijzigen, waaronder de lijst met geblokkeerde gebruikers.

IMEI-nummer

Het probleem is ontstaan door de koppeling van het IMEI-nummer van de mobiele telefoon van een gebruiker met diens account. Deze koppeling wordt gebruikt om gebruikers te kunnen identificeren. Wie het IMEI-nummer van een gebruiker in handen heeft kan hierdoor diens gegevens opvragen. Hoe de onderzoekers dit precies hebben gedaan laten zij in het midden, vermoedelijk op cybercriminelen niet in de kaart te spelen.

Voor alsnog is het lek alleen ontdekt in de Android versie van Truecaller. De onderzoekers van Cheetah Mobile melden tegenover Softpedia echter ook de iOS-variant van de app te onderzoeken op kwetsbaarheden. Truecaller heeft inmiddels een update uitgebracht waarmee het lek in de Android app wordt gedicht. Gebruikers worden geadviseerd deze update zo snel mogelijk te installeren. Het bedrijf stelt geen aanwijzigingen te hebben dat de kwetsbaarheid door cybercriminelen is misbruikt.