Hvorfor får jeg "FCM Messages Test Notification" fra Hangouts og Microsoft Teams?

Lær sandheden bag disse meddelelser, der dukkede op ud af det blå

Vi er afhængige af app-meddelelser for at holde os orienteret om, hvad der sker. Forestil dig, hvis du ikke modtog nogen meddelelser og gik glip af de vigtige nyheder og ting, du stoler på dem til. Men at få mystiske meddelelser kan være lige så bekymrende som ikke at få nogen.

Og mange mennesker har fået "FCM-beskeder. Test Notification” eller lignende meddelelser fra apps som Google Hangout og Microsoft Teams. Så det er naturligt, at du er bekymret og samtidig nysgerrig på denne gåde. Hvis du har tænkt over, hvad disse er, eller hvorfor du får dem, så læs videre!

Hvad er FCM Messages Test Notification

Mange Android-brugere har rapporteret at få disse FCM-meddelelser, der ser sådan ud:

FCM-meddelelser

Testmeddelelser!!!

Antallet af S'er i meddelelsen bliver ved med at variere. Nu er de ekstra s'er og udråbstegn beviser nok på, at der er noget skumt ved disse meddelelser. Tilføj derefter den faktor, at der ikke sker noget, når du åbner appen ved hjælp af disse meddelelser; bare den normale grænseflade for appen åbner, som om du ikke havde åbnet appen gennem denne meddelelse. Der er ingen spor af dem. Så hvad er disse præcist?

Disse meddelelser er et resultat af en sårbarhed i Firebase Cloud Messaging-tjenesten (FCM). Firebase er en platform fra Google, som udviklere bruger til at skabe mobil- og webapps. Det er værd at bemærke, at mange apps bruger FCM til at levere meddelelser.

Abhishek Dharani, a.k.a. 'Abss', opdagede sårbarheden efter at have gravet igennem APK-filerne for disse apps. APK-filerne afslørede følsomme API-nøgler, som enhver kunne finde ved at gå gennem filerne med en fintandskam. Sårbarheden tillod ham at sende disse meddelelser til mobilappbrugere af apps som Hangout, Microsoft Teams, Google Play Musik, YouTube osv.

Og efter at have puslet med de logiske betingelser og udtryk, var de endda i stand til at sende notifikationer til ikke-abonnentbrugere til notifikationer for disse apps. Der er endda rapporter om, at disse meddelelser var i stand til at omgå indstillingen 'stille timer' i Microsoft Teams, når pp'en teknisk set ikke skulle levere nogen meddelelser.

Er der noget at bekymre sig om?

Da disse meddelelser er harmløse lige nu, er der ingen grund til at bekymre sig for meget. Men der er ingen skade i at være forsigtig, da nogen også kan bruge disse meddelelser til at sende falske oplysninger og udføre masse phishing-angreb.

Google er allerede klar over sårbarheden og undersøger sagen. Der er endnu ingen anerkendelse fra Microsoft om sagen.

Det er værd at bemærke, at selvom meddelelserne var en del af en POC (proof of concept) af Abhishek og hans team, kan enhver ondsindet angriber også misbruge sårbarheden i fremtiden, indtil udviklerne skrider til handling og gør noget ved de udsatte API-nøgler.

Nu hvor du kender årsagen bag disse meddelelser, bør det hvile dig. Men du bør også forblive forsigtig og være på udkig efter, hvis disse meddelelser bliver til noget andet end harmløst af en angriber.