Birdenbire ortaya çıkan bu bildirimlerin ardındaki gerçeği öğrenin
Neler olup bittiği konusunda bizi haberdar etmek için uygulama bildirimlerine güveniyoruz. Herhangi bir bildirim almadığınızı ve önemli haberleri ve onlara güvendiğiniz şeyleri kaçırdığınızı hayal edin. Ancak gizemli bildirimler almak, alamamak kadar endişe verici olabilir.
Ve birçok insan “FCM Mesajları” alıyor. Test Bildirimi” veya Google Hangout ve Microsoft Teams gibi uygulamalardan gelen benzer bildirimler. Bu yüzden endişelenmeniz ve aynı zamanda bu bilmeceyi merak etmeniz doğaldır. Bunların ne olduğunu veya neden aldığınızı düşünüyorsanız, okumaya devam edin!
FCM Mesajları Test Bildirimi Nedir?
Birçok Android kullanıcısı, şuna benzeyen bu FCM Mesajları bildirimlerini aldığını bildirdi:
FCM Mesajları
Test Bildirimleriss!!!
Bildirimdeki S'lerin sayısı değişmeye devam ediyor. Şimdi, fazladan s ve ünlem işaretleri, bu bildirimlerde şüpheli bir şey olduğuna dair yeterli kanıt. Ardından, bu bildirimleri kullanarak uygulamayı açtığınızda hiçbir şeyin olmadığı faktörünü ekleyin; bu bildirim aracılığıyla uygulamayı açmamışsınız gibi uygulamanın yalnızca normal arayüzü açılır. Onlardan eser yok. Peki bunlar tam olarak nedir?
Bu bildirimler, Firebase Bulut Mesajlaşma (FCM) Hizmetindeki bir güvenlik açığının bir sonucudur. Firebase, geliştiricilerin mobil ve web uygulamaları oluşturmak için kullandığı bir Google platformudur. Birçok uygulamanın bildirimleri iletmek için FCM kullandığını belirtmekte fayda var.
Abhishek Dharani, namı diğer "Abss", bu uygulamalar için APK dosyalarını inceledikten sonra güvenlik açığını keşfetti. APK dosyaları, herkesin ince dişli bir tarakla dosyaları inceleyerek bulabileceği hassas API anahtarlarını açığa çıkardı. Güvenlik açığı, Hangout, Microsoft Teams, Google Play Müzik, YouTube vb. uygulamaların mobil uygulama kullanıcılarına bu bildirimleri göndermesine izin verdi.
Mantıksal koşullar ve ifadelerle uğraştıktan sonra, abone olmayan kullanıcılara bu uygulamalar için bildirimler bile gönderebildiler. Bu bildirimlerin, pp'nin teknik olarak herhangi bir bildirim göndermemesi gerektiğinde Microsoft Teams'deki 'sessiz saatler' ayarını atlayabildiğine dair raporlar bile var.
Endişelenecek Bir Şey Var mı?
Bu bildirimler şu anda zararsız olduğu için çok fazla endişelenmenize gerek yok. Ancak, birileri bu bildirimleri yanlış bilgi göndermek ve toplu kimlik avı saldırıları gerçekleştirmek için de kullanabileceğinden dikkatli olmanın zararı yoktur.
Google, güvenlik açığının zaten farkında ve konuyu araştırıyor. Microsoft'tan konuyla ilgili henüz bir açıklama gelmedi.
Bildirimler, Abhishek ve ekibi tarafından bir POC'nin (kavram kanıtı) parçası olsa da, herhangi bir kötü niyetli saldırganın, geliştiriciler hızlı bir şekilde harekete geçip açıkta kalan API anahtarları hakkında bir şeyler yapana kadar gelecekte güvenlik açığını kötüye kullanabileceğini belirtmekte fayda var.
Artık bu bildirimlerin arkasındaki nedeni bildiğinize göre, zihninizi dinlendirmelidir. Ancak aynı zamanda dikkatli olmalı ve bu bildirimlerin bazı saldırganlar tarafından zararsız olmaktan başka bir şeye dönüşüp dönüşmeyeceğine dikkat etmelisiniz.