Lär dig sanningen bakom dessa meddelanden som dök upp ur det blå
Vi litar på appaviseringar för att hålla oss uppdaterade om vad som händer. Föreställ dig om du inte fick några aviseringar och gick miste om viktiga nyheter och sådant du litar på dem för. Men att få mystiska meddelanden kan vara lika oroande som att inte få några.
Och många människor har fått "FCM-meddelanden. Testavisering” eller liknande aviseringar från appar som Google Hangout och Microsoft Teams. Så det är naturligt att du är orolig och samtidigt nyfiken på denna gåta. Om du har funderat på vad dessa är, eller varför du skaffar dem, läs vidare!
Vad är FCM Messages Test Notification
Många Android-användare har rapporterat att de får dessa FCM-meddelanden som ser ut ungefär så här:
FCM-meddelanden
Testmeddelanden!!!
Antalet S i meddelandet fortsätter att variera. Nu är de extra s och utropstecken bevis nog att det är något skumt med dessa meddelanden. Lägg sedan till faktorn att ingenting händer när du öppnar appen med dessa aviseringar; bara det vanliga gränssnittet för appen öppnas som om du inte hade öppnat appen genom detta meddelande. Det finns inga spår av dem. Så, exakt vad är dessa?
Dessa meddelanden är ett resultat av en sårbarhet i Firebase Cloud Messaging-tjänsten (FCM). Firebase är en plattform från Google som utvecklare använder för att skapa mobil- och webbappar. Det är värt att notera att många appar använder FCM för att leverera aviseringar.
Abhishek Dharani, a.k.a. "Abss", upptäckte sårbarheten efter att ha grävt igenom APK-filerna för dessa appar. APK-filerna avslöjade känsliga API-nycklar som vem som helst kunde hitta genom att gå igenom filerna med en finkam. Sårbarheten gjorde det möjligt för honom att skicka ut dessa meddelanden till mobilappanvändare av appar som Hangout, Microsoft Teams, Google Play Musik, YouTube, etc.
Och efter att ha mixtrat med de logiska villkoren och uttrycken kunde de till och med skicka meddelanden till användare som inte prenumererar på meddelanden för dessa appar. Det finns till och med rapporter om att dessa meddelanden kunde kringgå inställningen "tysta timmar" i Microsoft Teams när pp tekniskt sett inte borde leverera några meddelanden.
Finns det något att oroa sig för?
Eftersom dessa meddelanden är ofarliga just nu, behöver du inte oroa dig för mycket. Men det skadar inte att vara försiktig eftersom någon också kan använda dessa meddelanden för att skicka falsk information och utföra massfiskeattacker.
Google är redan medvetet om sårbarheten och undersöker ärendet. Det finns inget erkännande från Microsoft i frågan ännu.
Det är värt att notera att även om aviseringarna var en del av en POC (proof of concept) av Abhishek och hans team, kan alla illvilliga angripare också missbruka sårbarheten i framtiden tills utvecklarna vidtar snabba åtgärder och gör något åt de exponerade API-nycklarna.
Nu när du vet orsaken bakom dessa meddelanden, bör det få dig att vila. Men du bör också vara försiktig och vara uppmärksam på om dessa meddelanden förvandlas till något annat än ofarligt av någon angripare.