En hacktivist har fått uautorisert tilgang til en leverandør av smarttelefonovervåkingsapper, og lekket data for hundretusener av kunder. Les om sikkerhetshullene.
© RusPhotoBank
En hacktivist fikk uautorisert tilgang til databasen til en leverandør av apper for smarttelefonovervåkning, og avslørte dataene til hundretusener av kunder. Lekkasjen omfatter over 500 000 betalingsposter knyttet til brukere som har betalt for å overvåke andre mennesker.
Innbruddet rammet kunder av tjenester som Geofinder, uMobix, Peekviewer (tidligere kjent som Glassagram), og flere andre sporings- og overvåkingsapper. Ifølge journalister leveres alle disse appene av samme leverandør – Struktura, et selskap registrert i Ukraina. Databasen inneholdt også oppføringer relatert til Xnspy, en tjeneste som tidligere har vært involvert i større datalekkasjehendelser.
TechCrunch oppdaget at den lekne datasettet består av omtrent 536 000 rader med kundeinformasjon. Dette inkluderer e-postadresser, navnet på den betalte tjenesten, betalingsbeløp, bankkorttyper (Visa eller Mastercard), og de fire siste sifrene i kortnummer. Transaksjonsdatoer var ikke til stede i databasen.
Selv om fullstendige betalingsdetaljer ikke ble avslørt, påpeker eksperter at selv dette datasettet utgjør en betydelig trussel. Den følsomme karakteren til tjenestene som disse klientene bruker, forsterker risikoen.
TechCrunch-journalister verifiserte databasens autentisitet gjennom flere metoder. De brukte offentlige engangse-postadresser funnet i dataene for å bekrefte kontoeksistens via gjenopprettingsmekanismer for passord. Unike fakturaidentifikatorer ble også sjekket og matchet betalingssider for tjenestene, som var tilgjengelig uten autentisering. Dette fremhever alvorlige sikkerhetshull i leverandørens infrastruktur.
Hacktivisten, som bruker aliaset wikkid, uttalte at tilgangen til dataene ble oppnådd på grunn av en enkel konfigurasjonsfeil på leverandørens nettside. Han hevdet å med vilje ha rettet seg mot og hacket tjenester som brukes til å overvåke mennesker, og deretter publisert den ekstraherte databasen på et hackerforum.
Apper som uMobix og Xnspy, når de først er installert på en enhet, gir tredjeparter nesten fullstendig tilgang til smarttelefoninnhold – inkludert meldinger, samtalehistorikk, bilder, nettleserdata og nøyaktig posisjon. Disse tjenestene markedsføres ofte som verktøy for overvåkning av partnere eller ektefeller, noe som direkte bryter lover i mange land.
Denne hendelsen er et nytt eksempel på at utviklere av stalkerware mister kontroll over data – både klientenes og ofrenes. De siste årene har dusinvis av lignende tjenester opplevd lekkasjer på grunn av grunnleggende sikkerhetsfeil. Det er bemerkelsesverdig at selskaper som tjener på personvernbrudd konsekvent mislykkes i å sikre til og med sine egne brukeres informasjon.