Dating-Apps können ihre Kunden nicht erneut schützen: 6 Apps verlieren Millionen von Datensätzen
Eines der Dinge, die wir am Internet am meisten lieben, ist die Tatsache, dass wir so viele Informationen darüber finden können. Seltsamerweise hassen wir am meisten am Internet auch die Tatsache, dass wir so viele Informationen darüber finden können. Sicherheitsforscher von WizCase haben beispielsweise kürzlich herausgefunden, dass Benutzer von sechs Dating-Apps, wenn sie wissen, wo sie suchen müssen, ihre persönlichen Daten in Datenbanken finden können, die nicht mit einem Passwort geschützt sind und von überall auf der Welt zugänglich sind.
Table of Contents
Fünf schlecht gesicherte Datenbanken verlieren Millionen von Datensätzen voller persönlicher Informationen
Die Experten entdeckten drei ElasticSearch-Installationen, einen Amazon S3-Bucket und eine MongoDB-Datenbank, die dem Internet zugänglich und ohne jegliche Authentifizierung zugänglich sind. Zwei der Anbieter sind in den USA ansässig, zwei befinden sich in Südkorea und einer in Japan. Alle betreiben Dating-Websites und -Anwendungen. Hier sind die Namen der Dienste und die Daten, die sie durchgesickert sind:
- CatholicSingles.com
- SPYKX.com
- Tiki
- Verschwommen
- Charin und Kyuun
Der S3-Eimer wog nur 17 MB und hielt etwas bescheidene 50.000 Rekorde. Die meisten Profile scheinen gesperrt zu sein, aber die zuletzt aufgezeichnete Aktivität ist aktuell, was zeigt, dass die durchgesickerten Daten höchstwahrscheinlich gültig sind. Es enthält Dinge wie Namen, E-Mail-Adressen, Telefonnummern, Alter, Geschlecht, Beruf, Rechnungsadressen, Zahlungsmethoden usw.
SPYKX.com ist ein südkoreanischer Anbieter, der verschiedene Dienste entwickelt und betreibt. Eine davon ist eine Dating-Anwendung namens Condaq / Kongdak. Aus irgendeinem Grund hat der Entwickler entschieden, dass es eine gute Idee ist, einige Benutzerdaten der App auf einem ungeschützten ElasticSearch-Server abzulegen. Ungefähr 123.000 Datensätze enthüllten persönliche Daten im Wert von 600 MB, einschließlich E-Mail-Adressen, Klartext-Passwörtern, Geburtsdaten und sogar GPS-Daten.
Tiki ist angeblich "eine neue Art von Dating-App", und laut seiner Website hat der Benutzer die Kontrolle über die Art der persönlichen Informationen, die potenzielle Daten sehen können. Diese Behauptung ist besonders ironisch, da der Entwickler von Tiki einige dieser Informationen in eine MongoDB-Datenbank gestellt hat, auf die mit einem einfachen Browser zugegriffen werden konnte. Etwas mehr als viertausend Datensätze wurden freigelegt, darunter Benutzerbewertungen und Aktivitätsprotokolle bis hin zu Namen, Telefonnummern, Datumsangaben usw.
Blurry ist eine südkoreanische Dating-Anwendung, mit der Benutzer den Bildschirm während Videoanrufen verwischen können. Es richtet sich angeblich an Benutzer, die zu schüchtern sind, um miteinander zu interagieren, oder die sich hinsichtlich ihres Erscheinungsbilds nicht sehr sicher sind. Sie können sich nur vorstellen, wie sich diese Personen fühlen, wenn sie erfahren, dass einige ihrer privaten Konversationen von einem schlecht konfigurierten ElasticSearch-Server offengelegt wurden. Die 70.000 Datensätze enthielten keine persönlichen Daten, aber die durchgesickerten Nachrichten waren voll von WhatsApp-Nummern, Instagram-Handles und anderen Informationen, die das Opfer allen Arten von Angriffen aussetzen könnten.
Eine weitere falsch konfigurierte ElasticSearch-Datenbank gehört den Entwicklern von Charin und Kyuun - zwei japanischen Apps, die anscheinend von derselben Firma ausgeführt werden. Es war mit 57 GB exponierten Daten und etwas mehr als 100 Millionen öffentlich zugänglichen Datensätzen das mit Abstand größte Leck. Besorgniserregend war, dass die Datenbank neben Benutzer-IDs, Informationen zu Mobilgeräten und Sucheinstellungen auch E-Mail-Adressen und Kennwörter im Klartext enthielt.
Es war bereits ein ziemlich umfangreiches Leck, aber die Untersuchung von WizCase hörte hier nicht auf.
Die Experten konnten die Eigentümer von weiteren sechs ungeschützten Datenbanken nicht identifizieren
Die Forscher entdeckten sechs weitere ungesicherte Datenbanken voller Daten. Wieder waren die Benutzer von Dating-Diensten betroffen, aber diesmal schien es, dass die Entwickler nicht für das Leck verantwortlich waren.
Die Experten haben es geschafft, die Daten mit mehreren Apps zu verknüpfen - Zhenai, Say Love, Netease, Love Chat und Companion. Sie sagten jedoch, dass die Datenbanken keine persönlich identifizierbaren Informationen enthielten und höchstwahrscheinlich das Ergebnis von Web-Scraping waren. Sie auch, dass Cyberkriminelle die darin enthaltenen Informationen verwenden können, um andere öffentlich verfügbare Profile zu identifizieren und möglicherweise Zugriff auf sensiblere Daten zu erhalten.
Worauf müssen Benutzer achten?
Es macht nie Spaß zu sehen, wie Dating-Apps Benutzerdaten verlieren. Obwohl die Dienste, über die wir heute sprechen, nicht so nisch sind wie die, die wir vor einigen Wochen besprochen haben, sind die Betroffenen möglicherweise nicht unbedingt an der ganzen Welt interessiert, weil sie wissen, dass sie sie nutzen.
Da so viele Apps beteiligt sind, können wir leider nicht wissen, wie viele Personen von den Lecks betroffen sind. Was wir jedoch wissen, ist, dass Sie, wenn Sie einen der in diesem Artikel genannten Dienste genutzt haben, viel vorsichtiger sein müssen als gewöhnlich. Die Daten in einigen Datenbanken können Cyberkriminellen alles bieten, was sie benötigen, um sich als Sie auszugeben und Ihre Online-Identität zu stehlen. Darüber hinaus können sie damit weitere Informationen über Sie finden und zusätzliche Angriffe starten.
Erpressungsversuche, die auf der Tatsache beruhen, dass Sie eine Dating-App verwenden, kommen in einigen Fällen nicht in Frage, und die offengelegten Klartext-Passwörter werden mit ziemlicher Sicherheit bei Angriffen zum Ausfüllen von Anmeldeinformationen verwendet.
