Een populaire beurs-app voor Android en iOS met 2,4 miljoen dagelijkse gebruikers blijkt gevoelige gegevens zoals wachtwoorden, ingenomen posities en andere data niet te versleutelen, waardoor aanvallers die kunnen onderscheppen of manipuleren en een oplossing is nog niet voorhanden.

Het gaat om de beurs-app SeekingAlpha, een online gemeenschap waar beleggers informatie over de aandelenmarkt uitwisselen. Gebruikers kunnen een lijst van aandelen kiezen waarvoor ze allerlei updates wensen te ontvangen. Naast nieuws over het koersverloop, bedrijfscijfers en verslagen worden er ook updates verstuurd wanneer een SeekingAlpha-auteur een artikel heeft geschreven dat op de geselecteerde portefeuille betrekking heeft.

De app blijkt geen versleuteling toe te passen. Zelfs het inloggen gaat via het onversleutelde http. Een aanvaller in een "bevoorrechte positie" op het netwerk waar ook de SeekingAlpha-gebruiker gebruik van maakt, kan zo het verkeer van de app onderscheppen, bekijken en manipuleren. De kwetsbaarheid werd door beveiligingsbedrijf Rapid7 ontdekt, dat SeekingAlpha begin mei via e-mail informeerde. Twee weken later werd het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit ingelicht.

Vandaag maakte het beveiligingsbedrijf de kwetsbaarheid bekend, ook al is er nog geen update beschikbaar. Gebruikers krijgen het advies om de app, totdat er een update is uitgekomen, niet te gebruiken wanneer ze zich op onbetrouwbare netwerken bevinden. Een vpn kan het risico van een aanvaller op publieke netwerken voorkomen, maar in dit geval is het verkeer alleen tot de vpn-server versleuteld.