Lenovo heeft een ernstig beveiligingslek gepatcht waarbij het mogelijk was voor aanvallers om uitgewisselde bestanden tussen telefoons en computers te onderscheppen. Het lek zat in ShareIT, een gratis applicatie waarmee gebruikers bestanden kunnen versturen vanaf Android of iOS naar hun pc, en andersom. Zeker de oorzaak van het lek is opvallend: Het admin-wachtwoord van de app was 12345678.
Dat ontdekte beveiligingsbureau CoreSecurity, dat het lek aan Lenovo meldde. Inmiddels is het lek gedicht met een software-update.
Hotspot
Lenovo ShareIT is een gratis applicatie van de Chinese fabrikant, waarmee het mogelijk is om bestanden, maar ook notificaties heen en weer te sturen tussen apparaten. Om dat te doen, moet er een persoonlijke hotspot worden opgezet op de telefoon.
Standaard-wachtwoord
Die hotspot heeft echter overal hetzelfde standaard wachtwoord: 12345678, niet bepaald het toppunt van creativiteit. Daardoor is het kinderlijk eenvoudig om de applicatie te misbruiken door een man-in-the-middle-aanval.
Doordat de applicatie toegang geeft tot alle bestanden en notificaties die er zijn verstuurd, levert zo'n aanval een goudmijn aan informatie op.
Onversleuteld
Tel daar ook nog bij op dat bestanden die tussen Windows en Android worden uitgewisseld allemaal worden verstuurd in plain-text en zonder verdere versleuteling.
Laten we het er gewoon op houden dat het een domme fout is van het bedrijf. Het had erger gekund...