Mehr als 20 Millionen Dateien wurden von 9 verschiedenen Dating-Apps durchgesickert

Um zu beweisen, wie gefährlich ungesicherte Datenbanken sein können, hat eine Gruppe von Forschern kürzlich eine Elasticsearch-Installation mit Dummy-Daten gefüllt, diese absichtlich falsch konfiguriert und darauf gewartet, wie lange es dauern würde, bis die Hacker sie finden und mit dem Scraping der Informationen beginnen. Der erste Angriff wurde innerhalb von acht Stunden nach dem Inbetriebnahme der Datenbank beobachtet, und in den nächsten zehn Tagen wurde durchschnittlich achtzehn Mal pro Tag auf den Honigtopf zugegriffen. Diese Ergebnisse sollten für die Benutzer einiger Nischen-Dating-Apps besonders beunruhigend sein, die, wie Sie vielleicht bereits vermutet haben, einige ihrer Daten in einer schlecht gesicherten Datenbank gespeichert haben.

Mindestens neun Dating-Apps haben explizite Benutzerdaten in einem ungesicherten S3-Bucket verfügbar gemacht

Es ist das Neueste aus einer sehr langen Reihe von Entdeckungen, die von VPNMentors Forscherteam unter der Leitung von Noam Rotem und Ran Locar gemacht wurden. Als Teil ihrer massiven Web - Mapping - Projekt, sie befindet sich eine ungesicherte Eimer Amazon Web Services S3 am 24. Mai Insgesamt enthielt die Datenbank 20.400.000 Dateien in bei 845GB wiegen.

Eines der interessanten Dinge an der Datenbank war, dass die von ihr offengelegten personenbezogenen Daten begrenzt waren. Es gab jedoch ziemlich viele Mediendateien, und wir sind uns ziemlich sicher, dass ihre Besitzer sich gewünscht hätten, dass sie privat bleiben. Es gab viele sexuell eindeutige Fotos mit sichtbaren Gesichtern, Screenshots von Chat-Gesprächen, Sprachnachrichten sowie Details zu Finanztransaktionen.

Um die Privatsphäre der exponierten Benutzer zu schützen, haben die Forscher beschlossen, die Daten nicht gründlich zu durchsuchen, was bedeutet, dass es unmöglich ist, die genaue Anzahl der betroffenen Personen korrekt abzuschätzen. Rotem und Locar haben in ihrem Bericht jedoch gesagt, dass Hunderttausende und möglicherweise Millionen von Benutzern beteiligt sind.

Die Daten wurden von mehreren Dating-Anwendungen durchgesickert. Die Untersuchung der Forscher führte sie zu einem Unternehmen namens "Cheng Du New Tech Zone", das im Kontaktbereich mehrerer Anschlussanwendungen bei Google Play aufgeführt war. Die Ähnlichkeiten im Website-Design der Apps bestätigten, dass sie höchstwahrscheinlich von derselben Personengruppe entwickelt wurden. Hier ist die Liste:

• GHunt
• Herpes Dating
• SugarD
• Casualx
• BBW Dating
• Xpal
• Homosexuell Papa Bär
• Cougary
• 3somes

Die Experten sind sich sicher, dass diese neun Anwendungen an dem Verstoß beteiligt waren, gehen jedoch davon aus, dass auch Benutzer anderer Apps desselben Entwicklers betroffen sein könnten.

Die Folgen des Lecks könnten schrecklich sein

Die gute Nachricht ist, dass die Daten nicht mehr online sind. Zwei Tage nach der Entdeckung des undichten Eimers verwendeten die Forscher das Kontaktformular einer der betroffenen Apps und erhielten zu ihrer Überraschung fast sofort eine Antwort. Das Team von VPNMentor antwortete auf die Anfrage nach weiteren Informationen, indem es die URL einer der Datenbanken sendete. Trotz der Tatsache, dass der Entwickler beschlossen hatte, nicht weiter mit den Forschern zu kommunizieren, wurden alle Daten innerhalb von 24 Stunden offline geschaltet. Zum Zeitpunkt des Schreibens scheinen einige der Apps ebenfalls aus Google Play entfernt worden zu sein.

Das ist alles schön und gut, aber natürlich hätte der Entwickler den Fehler gar nicht erst machen sollen. Wie Sie sehen können, sprechen wir nicht über Ihre typischen Tinder-Konkurrenten. Die Apps richten sich an Menschen mit bestimmten sexuellen Vorlieben und Fetischen, die stigmatisiert werden könnten. Diejenigen, die sie verwenden, möchten sie wahrscheinlich nicht öffentlich bekannt geben, und sie möchten die Bilder und Gespräche, die sie miteinander teilen, auf keinen Fall veröffentlichen. Wenn die Daten in die falschen Hände geraten, können Kriminelle die Bilder auslaufen lassen, die betroffenen Personen doxen oder sie erpressen. Arbeitsplätze könnten verloren gehen, Familien könnten gebrochen werden und der Ruf könnte ruiniert werden.

Die Pflege von Dating-Apps trägt immer ein höheres Maß an Verantwortung. Menschen vertrauen diesen Produkten manchmal mit ihren intimsten Geheimnissen, und wir können mit Sicherheit sagen, dass im Fall der Dating-Anwendungen von Cheng Du New Tech Zone ihr Vertrauen fehl am Platz war. Das einzige, was sie jetzt tun können, ist die Hoffnung, dass trotz der Ergebnisse des Forschungspapiers, über das wir im ersten Absatz gesprochen haben, niemand anderes als die Experten von VPNMentor die expliziten Daten gesehen hat.