DeepSeek iOS-app verstuurt onversleutelde data naar ByteDance-servers

zondag, 09 februari 2025 om 16:50

De populaire AI-chatbot DeepSeek, die binnen enkele dagen de top van de iOS App Store bereikte, blijkt ernstige beveiligingsproblemen te hebben. Volgens een rapport van het beveiligingsbedrijf NowSecure stuurt de app gevoelige gebruikersgegevens via onversleutelde kanalen naar servers die worden beheerd door ByteDance, het Chinese moederbedrijf van TikTok.

Dit brengt aanzienlijke privacy- en beveiligingsrisico’s met zich mee, vooral omdat de App Transport Security (ATS), een standaardbeveiliging die Apple aanbeveelt voor veilige dataoverdracht, in de DeepSeek-app wereldwijd is uitgeschakeld.

Wat is er mis met de beveiliging van DeepSeek?

Uit een audit van NowSecure blijkt dat DeepSeek:

Gegevens zonder encryptie verzendt, wat betekent dat hackers en netwerkmonitors toegang kunnen krijgen tot deze data.
Gegevens doorstuurt naar ByteDance-servers, waardoor potentiële gebruikersinformatie in handen komt van een bedrijf met nauwe banden met de Chinese overheid.
Een verouderd encryptieprotocol (3DES) gebruikt, dat al sinds 2016 als onveilig wordt beschouwd.
Gevoelige informatie opslaat met hardcoded encryptiesleutels, waardoor alle iOS-gebruikers dezelfde coderingssleutel hebben en eenvoudig kwetsbaar zijn voor aanvallen.

Welke gegevens worden verzonden?

Tijdens de registratie van de app worden gegevens zonder enige vorm van encryptie verstuurd, waaronder:

Organisatie-ID
Versie van de software development kit (SDK)
Besturingssysteemversie van de gebruiker
Taalvoorkeuren

Hoewel sommige gegevens versleuteld worden verzonden, worden deze alsnog opgeslagen op servers die zich volgens het privacybeleid van DeepSeek in China bevinden. Dit roept serieuze vragen op over de toegang die de Chinese overheid tot deze gegevens kan krijgen.

Reactie en mogelijke maatregelen

Noch DeepSeek, noch Apple heeft gereageerd op vragen over de beveiligingsproblemen. Experts zoals Thomas Reed, een iOS-beveiligingsspecialist, vinden het “onacceptabel” dat de ATS-beveiliging is uitgeschakeld en noemen de gebruikte encryptiemethoden verouderd en gevaarlijk.

Het Amerikaanse Congres overweegt inmiddels een verbod op DeepSeek op overheidsapparaten. Dit zou betekenen dat overheidsmedewerkers de app binnen 60 dagen niet langer mogen gebruiken.

Lees ook

Wat is DeepSeek AI? De nieuwe concurrent van ChatGPT en Claude

Hoe gebruik je DeepSeek? Tips en tricks voor betere resultaten

Wat betekent dit voor gebruikers?

DeepSeek was een veelbelovende AI-assistent die OpenAI’s ChatGPT in populariteit overtrof. Toch brengen de beveiligingsrisico’s grote zorgen met zich mee. NowSecure adviseert organisaties om de app direct te verwijderen, zowel van zakelijke als persoonlijke apparaten.

Gebruikers die hun privacy serieus nemen, doen er goed aan om DeepSeek voorlopig te vermijden totdat de ontwikkelaars een duidelijke verklaring geven en de beveiligingsproblemen verhelpen.

Conclusie

De DeepSeek iOS-app laat ernstige beveiligingslekken zien, met onversleutelde gegevensoverdracht en opslag op Chinese servers. NuSecure en andere beveiligingsonderzoekers waarschuwen voor mogelijke datamisbruik en adviseren gebruikers om de app direct te verwijderen. De vraag blijft of Apple stappen zal ondernemen tegen deze potentiële dreiging.