Puhelinseurantasovellusten tietovuoto paljastaa asiakastiedot

Hakkivisti pääsi luvattomasti puhelinseurantasovellusten tarjoajan tietokantaan, paljastaen satojentuhansien asiakkaiden tiedot. Vuoto käsittää yli 500 000 maksutietuetta, jotka liittyvät käyttäjiin, jotka olivat maksaneet muiden henkilöiden seurannasta.

Murto koski Geofinderin, uMobixin, Peekviewerin (entisen Glassagramin) ja useiden muiden seuranta- ja valvontasovellusten asiakkaita. Journalistien mukaan kaikki nämä sovellukset tulevat samalta tarjoajalta – ukrainalaisessa rekisteröidyltä yritykseltä nimeltä Struktura. Tietokanta sisälsi myös tietueita Xnspy-palvelusta, joka on aiemmin ollut mukana merkittävissä tietovuodoissa.

TechCrunch havaitsi, että vuotanut tietokanta sisältää noin 536 000 riviä asiakastietoja. Näihin kuuluvat sähköpostiosoitteet, maksetun palvelun nimi, maksusummat, pankkikorttityypit (Visa tai Mastercard) sekä korttinumeroiden neljä viimeistä numeroa. Tapahtumapäivämääriä ei ollut tietokannassa.

Vaikka täydellisiä maksutietoja ei paljastunut, asiantuntijat huomauttavat, että jopa tämä tietokanta aiheuttaa merkittävän uhan. Näiden asiakkaiden käyttämien palvelujen arkaluonteinen luonne lisää riskiä entisestään.

TechCrunchin journalistit vahvistivat tietokannan aitouden useilla menetelmillä. He käyttivät tietojen joukosta löytyviä julkisia kertakäyttösähköpostiosoitteita tarkistaakseen tilien olemassaolon salasanan palautusmekanismien kautta. Yksilöllisiä laskutunnisteita tarkistettiin ja verrattiin palveluiden maksusivuihin, joihin pääsi ilman tunnistautumista. Tämä korostaa tarjoajan infrastruktuurissa olevia vakavia tietoturva-aukkoja.

Hakkivisti, joka käyttää nimimerkkiä wikkid, totesi päässeensä tietoihin tarjoajan verkkosivuston yksinkertaisen määritysvirheen vuoksi. Hän ilmoitti tarkoituksellisesti kohdistaneensa ja murtautuneensa ihmisten seuraamiseen käytettyihin palveluihin, minkä jälkeen julkaisi poimitun tietokannan hakkereiden foorumilla.

Sovellukset kuten uMobix ja Xnspy antavat, kun ne on asennettu laitteeseen, kolmansille osapuolille lähes täyden pääsyn puhelimen sisältöön – mukaan lukien viestit, puheluhistorian, valokuvat, selaintiedot ja tarkan sijainnin. Näitä palveluja markkinoidaan usein kumppanien tai puolisoiden seurantatyökaluina, mikä suoraan rikkoo lakeja monissa maissa.

Tämä tapaus on jälleen yksi esimerkki stalkerware-kehittäjien menettämästä hallinnasta tiedoista – sekä asiakkaidensa että uhriensa. Viime vuosina kymmenet vastaavat palvelut ovat kohdanneet vuotoja perustietoturvavirheiden vuoksi. Huomionarvoista on, että yritykset, jotka hyötyvät yksityisyyden loukkauksista, eivät pysty suojaamaan edes omien käyttäjiensä tietoja.