7 VPN-szolgáltatót vádolnak 20 millió felhasználó személyes adatainak kiszolgáltatásáért

Ezen oldalakon gyakran mondtuk, hogy mindent, amit az interneten olvas, csipetnyi sóval kell szedni, és sajnos túl sok példánk van arra, hogy ez a tanács miként érvényes, mint valaha. A VPNMentor kutatócsoportja a közelmúltban újabb munkatársat adott nekünk.

A felfedezés összesen hét virtuális magánhálózati (VPN) alkalmazást érintett, amelyek mindegyike ígéretet tesz arra, hogy nem tárolja és nem rögzíti az azokat használó személyek személyes és tevékenységi adatait. A valóságban azonban a kutatók bebizonyították, hogy az alkalmazások nemcsak nagyon sok információt rögzítettek, hanem egy olyan szerverre helyezték, amely az egész világ számára ki volt téve.

A VPN-alkalmazások a felhasználók adatait védelem nélküli Elasticsearch adatbázisba helyezik

Az alkalmazások neve: UFO VPN, Fast VPN, Free VPN, Super VPN, Flash VPN, Secure VPN és Rabbit VPN. Az alkalmazások különböző néven szerepelhetnek, de a kutatók szinte meg vannak győződve arról, hogy ugyanaz a fejlesztő készítette őket. Mindegyikük Hong Kongban található, néhányuk hasonló megjelenésű weboldalakkal rendelkezik, és utoljára, de nem utolsósorban, mind a felhasználói adatokat ugyanazon a háttér-infrastruktúrán tárolják.

Sajnos a szakértők felfedezték az utolsó információt, miután megtaláltak egy Elasticsearch adatbázist, amelyet nem védtek jelszóval és körülbelül 1,2 TB felhasználói adatokat tároltak. Ha a VPN-szolgáltatók állítólagos felhasználói adatbázisait feltételezzük, az érintett személyek száma akár 20 millió is lehet, és néhányuk számára a szivárgás következményei meglehetősen súlyosak lehetnek.

Személyes adatok, egyszerű szöveges jelszavak és tevékenységi naplók kerültek nyilvánosságra

A kutatók kíváncsi voltak arra, hogy megtudják, valós-e az információ. Ehhez letöltötték az egyik alkalmazást (UFO VPN), feliratkoztak és elkezdték használni. Pillanattal később, a fiók regisztrálásához használt e-mail cím és a cleartext jelszó megjelentek a nem biztonságos Elasticsearch adatbázisban.

A bejelentkezési adatok mellett a szakértők meglehetősen sok személyes azonosítási információt találtak, beleértve a neveket, a fizikai címeket és az otthoni IP-ket. Az érzékeny PayPal API-linkek felfedhetik a fizető ügyfelek számláit a fizetési processzornál, és voltak információk arról is, hogy mely szerverekhez kapcsolódtak az alkalmazások használatakor.

A kutatók egyik legmegdöbbentőbb felfedezése azonban a tevékenységi naplók jelenléte volt. A VPNMentor szakértői képernyőképeket osztottak meg a rekordokról, amelyek tartalmazzák a felhasználó tartózkodási helyét, az általuk használt kapcsolat típusát, az időbélyeget és az elérni kívánt tartományt. Annyira az állítások miatt, hogy nem tárolnak böngészési adatokat.

A felhasználókra gyakorolt hatás pusztító lehet

A hét alkalmazás által biztosított virtuális magánhálózatokban nagyon kevés volt a magántulajdon, és ez nagy problémát okozhat az őket használó emberek számára. Az egyik VPNMentor által megosztott képernyőképe például azt mutatja, hogy egy iráni személy a VPN-t felnőtt anyagok megtekintésére használta. Iránban tilos a pornográfia, és ha ez a személy azonosításra kerül, börtön ideje lehet.

Ezenkívül általában a VPN-ket gyakran aktivisták és emberek használják, akik valóban nem akarják nyilvánosságra hozni valódi személyazonosságukat, és az a hét alkalmazás, amely adataikat nyilvánosságra hozta, nagyon bizonytalan helyzetbe hozhatta őket. Jó dolog, hogy az adatbázist biztonságossá tették, és az információ már nem nyilvános. A leszerelés azonban nehezebb volt, mint kellett volna.

A VPN szolgáltatók azt állítják, hogy semmi rosszat nem tettek

A VPNMentor szakértői július 5-én fedezték fel az adatbázist, és azonnal elindultak a VPN-szolgáltatók tájékoztatására. Kezdetben csak az egyik vállalat válaszolt, és úgy tűnt, hogy nem biztos benne, mi folyik itt. A kutatók Hongkong számítógépes vészhelyzeti reagáló csoportjával (CERT) folytatott kommunikációja sem hozott eredményt. Mivel a szerver az Egyesült Államokban volt, a hongkongi hatóságok keveset tettek róla.

Július 15-én az adatbázist végül offline állapotba helyezték, és a kutatók választ kaptak az UFO VPN-től, a legnagyobb érintett VPN-szolgáltatótól. Az e-mail szerint az UFO VPN figyelmen kívül hagyta a konfigurációs hibát a COVID-19 járványhoz kapcsolódó „személyi változások” miatt. Megpróbálták biztosítani a kutatóknak, hogy nem tárolják a felhasználók jelszavát egyszerű szövegben, és nem rögzítenek semmilyen böngészési tevékenységet. Maga a szivárgás bizonyítja, hogy nem erről volt szó.

Egy ideje vitatkoztak arról, hogy a VPN használata jó ötlet-e, ha el akarja rejteni személyazonosságát. Az ilyen események minden bizonnyal nem segítenek a VPN-ek esetében, és az évek során számos olyan szolgáltatóról hallottunk, amelyek nem tesznek eleget a felhasználók magánéletének védelme érdekében. Mindemellett egy jól konfigurált virtuális magánhálózat, amelyet egy vállalat kínál, amely nem akar Önnek kémkedni, rendkívül hasznos lehet, nem csak akkor, ha az Ön országában nem elérhető tartalomhoz szeretne hozzáférni, hanem akkor is, ha fenntartsa az anonimitás szintjét. Végül az ilyen szivárgások bizonyítják, hogy a felhasználóknak rendkívül óvatosnak kell lenniük, amikor VPN-szolgáltatót választanak.