Hacktivist, izleme uygulamalarından 500 bin müşteri verisini sızdırdı

Bir hacktivist, akıllı telefon izleme uygulamaları sağlayan bir firmanın veritabanına yetkisiz erişim sağlayarak yüz binlerce müşterinin verilerini ortaya çıkardı. Bu sızıntı, başka kişileri gözetlemek için ödeme yapan kullanıcılara ait 500 binden fazla ödeme kaydını içeriyor.

İhlalden etkilenen hizmetler arasında Geofinder, uMobix, Peekviewer (eski adıyla Glassagram) ve diğer izleme uygulamaları yer alıyor. Gazetecilerin aktardığına göre, tüm bu uygulamalar Ukrayna'da kayıtlı bir şirket olan Struktura tarafından sağlanıyor. Veritabanında, daha önce büyük veri ihlali olaylarına karışan Xnspy hizmetine ait kayıtlar da bulunuyor.

TechCrunch'un keşfine göre, sızdırılan veri seti yaklaşık 536.000 satır müşteri bilgisi içeriyor. Bunlar arasında e-posta adresleri, ödenen hizmetin adı, ödeme tutarları, banka kartı türleri (Visa veya Mastercard) ve kart numaralarının son dört hanesi var. İşlem tarihleri ise veritabanında yer almıyor.

Tam ödeme detayları açığa çıkmamış olsa da, uzmanlar bu veri setinin bile ciddi bir tehdit oluşturduğunu belirtiyor. Müşterilerin kullandığı hizmetlerin hassas doğası, riski daha da artırıyor.

TechCrunch gazetecileri, veritabanının gerçekliğini çeşitli yöntemlerle doğruladı. Verilerde bulunan genel kullanımlı e-posta adreslerini, şifre kurtarma mekanizmaları aracılığıyla hesap varlığını teyit etmek için kullandılar. Benzersiz fatura tanımlayıcıları da kontrol edildi ve hizmetlere ait, kimlik doğrulama gerektirmeyen ödeme sayfalarıyla eşleştirildi. Bu durum, sağlayıcının altyapısındaki ciddi güvenlik açıklarını gözler önüne seriyor.

Wikidd takma adını kullanan hacktivist, verilere erişimin sağlayıcının web sitesindeki basit bir yapılandırma hatası nedeniyle sağlandığını ifade etti. İnsanları gözetlemek için kullanılan hizmetleri kasıtlı olarak hedef aldığını ve hacklediğini iddia eden hacktivist, ardından çıkarılan veritabanını bir hacker forumunda yayınladı.

uMobix ve Xnspy gibi uygulamalar, bir cihaza kurulduğunda üçüncü taraflara akıllı telefon içeriğine neredeyse tam erişim sağlıyor. Bu erişim, mesajlar, arama geçmişi, fotoğraflar, tarayıcı verileri ve kesin konum bilgilerini kapsıyor. Bu hizmetler genellikle partnerleri veya eşleri izleme araçları olarak pazarlanıyor, ki bu birçok ülkedeki yasaları doğrudan ihlal ediyor.

Bu olay, stalkerware geliştiricilerinin veriler üzerindeki kontrolünü kaybetmesinin bir başka örneği. Hem müşterilerinin hem de mağdurlarının verileri söz konusu. Son yıllarda, onlarca benzer hizmet temel güvenlik hataları nedeniyle sızıntılarla karşı karşıya kaldı. Dikkat çeken nokta, gizlilik ihlallerinden kâr eden şirketlerin kendi kullanıcılarının bilgilerini bile koruyamaması.