Ein Peekaboo Moments Data Breach enthüllt Babyfotos und -videos

Wenn Sicherheitsspezialisten Ihnen mitteilen, dass jeder Opfer einer Datenverletzung werden kann, übertreiben sie nicht mit der Hoffnung, alle in einen Zustand unnötiger Panik zu versetzen. Dan Ehrlich von der Sicherheitsberatungsfirma Twelve Security entdeckte kürzlich eine ziemlich große Datenbank, aus der hervorgeht, dass Sie nicht einmal wissen müssen, wie man ein elektronisches Gerät verwendet, um Ihre Privatsphäre zu gefährden.

Die fragliche Datenbank wurde auf Servern von Alibaba Cloud gehostet und enthielt etwa 100 GB an Informationen, die zwischen März 2019 und Januar 2020 gesammelt wurden. Es gab einiges zu befürchten, aber Ehrlich war besonders besorgt, als er Links fand, die zu führten was aussah wie Fotos und Videos von Babys. Nach einer kurzen Untersuchung stellte er fest, dass die Daten von Peekaboo Moments abfließen - einer mobilen App, mit der Eltern das Wachstum ihrer Kinder verfolgen können.

Peekaboo Moments legt Unmengen an persönlichen Daten offen

Ehrlich setzte sich mit Jeremy Kirk von Information Security Media Group in Verbindung, der versuchte, bei der verantwortungsvollen Offenlegung des Vorfalls zu helfen. Die beiden stöberten in der freigelegten Datenbank und stellten fest, dass sie über 70 Millionen Protokolldateien enthielt, die neben Links zu Fotos und Videos alle Arten von persönlichen Informationen enthielten, die sowohl Eltern als auch Säuglingen gehörten. Die E-Mail-Adressen, die "mindestens" 800.000 Peekaboo Moments-Konten zugeordnet sind, wurden in den Daten gefunden, ebenso wie die API-Schlüssel, mit denen Benutzer die App mit ihren Facebook-Profilen verbinden können. Mit diesen Informationen konnte ein Hacker auf Informationen zugreifen, die im sozialen Netzwerk von Mark Zuckerberg geteilt wurden, und der Angriff wurde noch einfacher, da Peekaboo Moments einige seiner eigenen API-Schlüssel enthüllte.

Die Protokolle enthielten auch Nutzungsstatistiken und eine besorgniserregende Menge an Informationen zu Babys auf der ganzen Welt. In der Datenbank wurden neben Fotos und Videos auch die Geburtsdaten der Neugeborenen sowie Informationen zu deren Gewicht und Größe gespeichert. Außerdem sind GPS-Daten durchgesickert, die es Angreifern ermöglicht hätten, den genauen Standort von Kindern zu bestimmen.

Wie sind Peekaboo Moments in dieses Chaos geraten?

Wenn Sie das Marketing-Material auf der Google Play-Seite von Peekaboo Moments lesen, werden Sie den Eindruck haben, dass Bithouse, Inc., der Entwickler der App, genau weiß, wie wichtig es ist, die Daten der Benutzer privat zu halten. Die Tatsachen legen jedoch anderes nahe.

Die durchgesickerten Informationen wurden auf einem ungeschützten Elasticsearch-Server abgelegt, auf den jeder mit einem Browser und einer Internetverbindung zugreifen konnte. Bithouse ist bei weitem nicht das einzige Unternehmen, das diesen Fehler begangen hat, aber die Tatsache, dass es viele andere Straftäter gibt, kann nicht wirklich als schuldmindernder Faktor dienen, insbesondere wenn Sie wissen, dass die Sicherheit von Säuglingen in Frage kommt. Laut Dan Ehrlich ist die falsch konfigurierte Datenbank nur die Spitze des Eisbergs.

Er sagte der Information Security Media Group, dass "alles" an der App "bizarr gemacht und grob unsicher" sei. Ehrlich ging nicht auf zu viele Details ein, aber wir sind ziemlich sicher, dass zumindest ein Teil seiner Kritik damit zu tun hat, dass standardmäßig die offizielle Website von Peekaboo Moments (mit einem Anmeldeformular auf der Startseite) geladen wird unter HTTP statt HTTPS.

Wenn Sie von der Website der App sprechen, werden Sie eine Ankündigung zu dem von Jason Liu, CEO von Peekaboo Moments, geschriebenen Datenleck finden. Laut Aussage wurde das Leck durch einen falsch konfigurierten Protokollierungsserver verursacht, der "einen sehr kleinen Teil" der Benutzerdaten enthielt. Liu entschuldigte sich für die Verletzung, versprach, dass sein Unternehmen von nun an versuchen werde, es besser zu machen, und versuchte, alle davon zu überzeugen, dass außer Ehrlich und Kirk keine externen Personen auf die Datenbank zugegriffen haben. Anscheinend sind die Links zu Kinderfotos und -videos nicht mehr aktiv, da Bithouse die undichte Datenbank "kurz" nach Erhalt des ersten Berichts gesichert hat.

Jeremy Kirks Version der Ereignisse ist ein bisschen anders. Laut dem Bericht der Information Security Media Group blieben mehrere Versuche, mit Jason Liu und seinem Unternehmen in Kontakt zu treten, erfolglos. Laut Kirk gab Bithouse erst einige Stunden nach dem Ende der Geschichte eine E-Mail zurück, in der er darauf hinwies, dass der Server sicher ist.

In jedem Fall kann das Datenleck von Peekaboo Moments als Beweis dafür dienen, dass Cybersicherheitsvorfälle auch die unschuldigsten und verwundbarsten Mitglieder unserer Gesellschaft betreffen können. Diese besondere Verletzung sollte wahrscheinlich in Betracht gezogen werden, wenn Sie sich das nächste Mal fragen, mit welcher App Sie Fotos Ihres Kindes teilen sollten.