可窃取用户电子邮件等隐私数据，50% 受调查 Google Play App 使用了问题 API

CTOnews.com 12 月 21 日消息，AI 网络安全公司 CloudSEK 近日调查了 Google Play 上的 600 款热门安卓 App，发现 50% 左右 App 使用了来自三家最受欢迎的电子邮件营销服务应用的 API 密钥。

CTOnews.com了解到，API 的全称叫做应用程序编程接口（application programming interface），让应用程序、服务能在后台和第三方网站无缝协作。

API 是在线公司和服务用来收集客户联系信息和管理对外营销活动的应用程序类型，这意味着有很多脆弱的数据通过 API 密钥来传输的。

CloudSEK 通过自家的 BeVigil 安全引擎调查了 600 款 Google Play 的 App，发现大约一半的 App 使用了 Mailchimp、Sendgrid 和 Mailgun 的 API 密钥。而这三家 API 密钥存在漏洞，可以将敏感数据传递给恶意的第三方，从而影响用户的使用安全，成为网络骗子的目标。

受影响的 App 已经被下载超过 5400 万次，其中每一个 App 现在都有可能通过 API 密钥泄露任何和所有的细节。据 CloudSek 称，该漏洞可能使恶意行为者能够阅读电子邮件，窃取客户数据，访问电子邮件列表，甚至作为受影响企业的代表开展电子邮件营销活动。这最后一个意味着以这种方式暴露的用户将特别容易受到复杂的网络钓鱼活动的影响，而这些活动将非常难以发现。