危害远超“XX神器” APP云端漏洞席卷数亿手机用户

最近“XX神器”手机病毒在全国爆发，人们惊呼狼来了的同时，智能手机时代更严重的安全危机正在悄然滋生。安全研究人员发现，部分流行APP存在云端漏洞，黑客可利用漏洞攻击手机APP的云端服务器，批量盗取用户手机数据。

360网站安全检测平台抽样分析，国内常见的2000款手机APP中，有298个APP存在云端漏洞，占比高达14.7%，影响用户达数亿规模。

图：黑客利用APP的API接口入侵云平台服务器

据介绍，手机APP主要是通过服务器进行系统交互和数据存储的，而手机APP与服务器之间有单独的API接口进行连接。一旦API接口存在安全漏洞，黑客就能入侵到手机APP的服务器后台，盗取APP云端存储的数据。

与手机病毒攻击方式相比，黑客对云端漏洞的攻击更隐蔽、影响范围也更广。因为只要有一定安全意识，不点击“XX神器”短信的病毒链接，手机就不会中毒；但是黑客的云端攻击却绕过了手机，直接入侵手机APP服务器，无论用户手机多么安全也无法阻止数据泄露，只有手机APP服务商做好安全防范才能从根本上解决问题。

360网站安全总监赵武表示，尽管云端漏洞对手机APP用户威胁极大，部分APP厂商对此却没有予以重视，甚至成为安全防护的盲区。例如，今年上半年某知名网站泄露部分用户的信用卡敏感信息，就是因为手机APP与网站服务器API接口的“云端”漏洞导致的。

360网站安全检测平台测试发现，市面上常见的2000个手机APP中，有298个手机APP的API接口存在漏洞，更有34个手机APP的接口存在高危漏洞，导致黑客可直接登录APP服务器。分析发现，这些存在云端漏洞的手机APP涉及阅读、游戏、打车、图片制作、音乐、广告统计等多个服务。

赵武认为，利用手机APP云端漏洞侵入服务器，已经成为黑客攻击的新方向。“很多无法从网站入侵的黑客，转而瞄向APP的API接口，由此入侵到云平台的服务器，进而拖库（盗取用户数据库）或进行恶意破坏。”

针对APP服务器端的防护，360提供了网站卫士免费服务，能够有效防止漏洞、DDoS等恶意攻击。此外，360“库带计划”近期也收到多个APP“云端”漏洞的报告，并协助相关APP厂商修复漏洞。