La recente analisi dell'app DeepSeek per iOS ha evidenziato gravi problemi di sicurezza. Secondo l'audit condotto da NowSecure, l'applicazione trasmette dati sensibili senza alcuna crittografia, esponendoli a possibili attacchi di intercettazione e manipolazione. Oltre a non seguire le migliori pratiche di sicurezza, l'app raccoglie una vasta gamma di dati sugli utenti e sui dispositivi. NowSecure ha rilevato che l'app invia informazioni di registrazione e dati del dispositivo su Internet senza crittografia. Questo comportamento mette a rischio i dati trasmessi, esponendoli a attacchi passivi e attivi.

Debolezze nella crittografia

L'analisi ha anche rivelato debolezze nell'implementazione della crittografia. Tra queste, l'uso di un algoritmo di crittografia simmetrica non sicuro come il 3DES, una chiave di crittografia codificata e il riutilizzo di vettori di inizializzazione. Inoltre, i dati vengono inviati a server gestiti da Volcano Engine, una piattaforma di cloud computing e storage di proprietà di ByteDance, la stessa azienda cinese che gestisce TikTok.

Disabilitazione di App Transport Security (ATS)

L'app DeepSeek disabilita globalmente il sistema di sicurezza App Transport Security (ATS) di iOS, che protegge i dati sensibili inviati su canali non crittografati. Disabilitando questa protezione, l'app invia dati non crittografati su Internet, aumentando il rischio di intercettazioni.

Restrizioni governative e attacchi malevoli

Queste scoperte si aggiungono a una lista crescente di preoccupazioni sollevate riguardo al servizio di chatbot basato su intelligenza artificiale (AI) DeepSeek. Nonostante la sua rapida ascesa nelle classifiche degli app store, diverse nazioni, tra cui Australia, Italia, Paesi Bassi, Taiwan e Sud Corea, hanno vietato l'uso di DeepSeek sui dispositivi governativi. Anche negli Stati Uniti, agenzie come il Congresso, la NASA, la Marina, il Pentagono e il Texas hanno imposto restrizioni simili.

In aggiunta, DeepSeek è stata bersaglio di attacchi malevoli, con attacchi DDoS prolungati da parte di botnet come hailBot e RapperBot. Nel frattempo, i criminali informatici stanno sfruttando la frenesia attorno a DeepSeek per creare pagine simili che diffondono malware, truffe di investimento false e schemi fraudolenti di criptovaluta.

Preoccupazioni sulla privacy e proposte legislative

Queste problematiche di sicurezza e privacy sollevano serie preoccupazioni su come vengono gestiti i dati degli utenti e sulla possibilità che le informazioni possano essere condivise con il governo cinese. I legislatori statunitensi hanno proposto un divieto a livello nazionale dell'app sui dispositivi governativi per proteggere la privacy degli utenti.