DeepSeek espone dati non crittografati ai server cinesi: vulnerabilità di sicurezza critiche trovate nell’app iOS

L’applicazione DeepSeek ha fatto scalpore diventando l’app AI più scaricata sull’App Store, superando persino ChatGPT nel primo mese dal suo lancio. Tuttavia, questa popolarità è stata oscurata da gravi preoccupazioni relative a problemi di privacy e sicurezza. Recenti indagini hanno rivelato che l’app DeepSeek sta trasmettendo dati utente non crittografati a server in Cina a causa di significative vulnerabilità di sicurezza presenti nella sua versione iOS.

Problemi critici di sicurezza dell’applicazione iOS di DeepSeek

Come evidenziato in precedenza, DeepSeek solleva importanti allarmi a causa della sua mancanza di meccanismi di filtraggio, che potrebbero inavvertitamente esporre gli utenti a rischi basati sulle loro query di ricerca. Ciò ha attirato l’attenzione dei funzionari statunitensi, che stanno attualmente valutando le potenziali implicazioni per la sicurezza nazionale delle pratiche di gestione dei dati dell’app, in particolare la sua trasmissione non autorizzata di informazioni a server stranieri.

Trasmissione dati non crittografata

Secondo le intuizioni di NowSecure, una rinomata azienda di sicurezza mobile, l’app DeepSeek contiene molteplici vulnerabilità correlate alla sua architettura. In modo cruciale, è stato segnalato che l’app non utilizza l’App Transport Security (ATS) di Apple, un sistema progettato per garantire che le informazioni sensibili vengano trasmesse esclusivamente su canali sicuri e crittografati. Infatti, i risultati indicano che DeepSeek ha intenzionalmente disabilitato questa funzionalità essenziale all’interno della sua piattaforma iOS.

L’app DeepSeek iOS disabilita globalmente App Transport Security (ATS), una protezione a livello di piattaforma iOS che impedisce l’invio di dati sensibili su canali non crittografati. Poiché questa protezione è disabilitata, l’app può ( e lo fa ) inviare dati non crittografati su Internet.

Vulnerabilità dei dati e rischi di manipolazione

NowSecure ha notato che, sebbene i dati esposti possano sembrare innocui a prima vista, possono essere manipolati per compromettere l’anonimato dell’utente. Ad esempio, la recente violazione che ha coinvolto Gravy Analytics funge da avvertimento, illustrando come i dati possono essere aggregati su larga scala, rivelando di fatto le identità di milioni di persone.

La recente violazione dei dati di Gravy Analytics dimostra che questi dati vengono raccolti attivamente su larga scala e possono effettivamente de-anonimizzare milioni di individui.

Pratiche di sicurezza obsolete

L’affidamento di DeepSeek a metodologie di crittografia obsolete è un altro fattore allarmante. Gli algoritmi in uso non sono solo obsoleti, ma anche altamente imperfetti, sollevando dubbi sull’adeguatezza della protezione dei dati degli utenti. Inoltre, le informazioni raccolte da DeepSeek potrebbero inavvertitamente evidenziare individui che potrebbero essere di interesse per attività di spionaggio.

[Un utente campione] sta utilizzando l’ultimo iPad, sfruttando una connessione dati cellulare registrata presso FirstNet (operatore di rete a banda larga per la sicurezza pubblica americana) e apparentemente l’utente sarebbe considerato un obiettivo di alto valore per lo spionaggio.

Tieni presente che non solo nell’app DeepSeek per iOS vengono raccolte decine di punti dati, ma anche dati correlati provenienti da milioni di app che possono essere facilmente acquistati, combinati e quindi correlati per de-anonimizzare rapidamente gli utenti.

Implicazioni future per DeepSeek

Un’analisi approfondita del rapporto sulla sicurezza indica che l’applicazione DeepSeek per iOS presenta rischi significativi ed è pericolosa per l’uso da parte dei consumatori. La versione Android dell’app presenta, a quanto si dice, falle di sicurezza simili, se non peggiori. Affinché DeepSeek mantenga la sua presenza sul mercato negli Stati Uniti e oltre, deve affrontare urgentemente queste preoccupazioni critiche in materia di sicurezza e privacy. Altrimenti, potrebbe affrontare un destino parallelo a quello di TikTok, che sta attualmente navigando in acque turbolente che potrebbero portare a un divieto permanente o a una vendita forzata a un’entità con sede negli Stati Uniti.

Fonte e immagini