Hacktivist odhalil únik dat ze sledovacích aplikací pro chytré telefony

Hacktivist získal neoprávněný přístup k databázi poskytovatele aplikací pro monitorování chytrých telefonů, což odhalilo údaje stovek tisíc zákazníků. Únik zahrnuje více než 500 000 platebních záznamů spojených s uživateli, kteří platili za sledování jiných osob.

Porušení postihlo klienty služeb včetně Geofinderu, uMobixu, Peekvieweru (dříve známého jako Glassagram) a několika dalších sledovacích a monitorovacích aplikací. Podle novinářů všechny tyto aplikace poskytuje stejný dodavatel – ukrajinská společnost Struktura. Databáze také obsahovala záznamy týkající se služby Xnspy, která byla dříve zapletena do významných incidentů s únikem dat.

TechCrunch zjistil, že uniklý soubor dat obsahuje přibližně 536 000 řádků s informacemi o zákaznících. Jsou mezi nimi e-mailové adresy, názvy placených služeb, částky plateb, typy bankovních karet (Visa nebo Mastercard) a poslední čtyři číslice čísel karet. Datumy transakcí v databázi chyběly.

Ačkoli úplné platební údaje nebyly odhaleny, experti upozorňují, že i tento soubor dat představuje významnou hrozbu. Citlivá povaha služeb, které tito klienti využívají, riziko ještě zvyšuje.

Novináři TechCrunch ověřili autenticitu databáze několika metodami. Pomocí veřejných jednorázových e-mailových adres nalezených v datech potvrdili existenci účtů prostřednictvím mechanismů pro obnovení hesla. Kontrolovali také jedinečné identifikátory faktur, které odpovídaly platebním stránkám služeb přístupným bez ověření. To ukazuje na vážné bezpečnostní mezery v infrastruktuře dodavatele.

Hacktivist používající alias wikkid uvedl, že přístup k datům získal kvůli jednoduché chybě v konfiguraci webových stránek dodavatele. Prohlásil, že záměrně cílí a hackuje služby používané k sledování lidí, a poté publikoval extrahovanou databázi na hackerském fóru.

Aplikace jako uMobix a Xnspy, jakmile jsou jednou nainstalovány na zařízení, umožňují třetím stranám téměř úplný přístup k obsahu chytrého telefonu – včetně zpráv, historie hovorů, fotografií, dat z prohlížeče a přesné polohy. Tyto služby jsou často nabízeny jako nástroje pro monitorování partnerů nebo manželů, což přímo porušuje zákony v mnoha zemích.

Tento incident je dalším příkladem, kdy vývojáři stalkerwaru ztrácejí kontrolu nad daty – jak svých klientů, tak obětí. V posledních letech desítky podobných služeb čelily únikům kvůli základním bezpečnostním chybám. Je pozoruhodné, že společnosti profitující z porušování soukromí trvale selhávají v zabezpečení i vlastních uživatelských informací.