Több mint 20 millió fájlt szivárogtatott fel 9 különböző társkereső alkalmazás

Annak bizonyítására, hogy a nem biztonságos adatbázisok veszélyesek lehetnek, egy kutatói csoport nemrégiben kitöltött egy Elasticsearch telepítést dummy adatokkal, szándékosan tévesen konfigurálta azokat, és várt, hogy megnézze, mennyi időbe telik a hackerek, hogy megtalálják azokat, és elkezdenek lebontani az információkat. Az első támadást nyolc órán belül láthatták az adatbázis online megjelenése után, és az elkövetkező tíz napban a mézescserét naponta átlagosan tizennyolc alkalommal lehetett elérni. Ezeknek az eredményeknek különösen kellemetlennek kell lenniük néhány olyan régimódi társkereső alkalmazás felhasználóit illetően, akik - amint már talán már kitaláltad - adataik egy részét rosszul biztonságos adatbázisban tárolták.

Legalább kilenc társkereső alkalmazás nyilvánvaló felhasználói adatokat tett közzé nem biztonságos S3 vödörben

Ez a legújabb, a VPNMentor kutatói csoportja által, Noam Rotem és Ran Locar vezetésével végzett, nagyon hosszú felfedezések sorában. Ennek egy részét a hatalmas webes térképészeti projekt, akkor található egy nem biztonságos Amazon Web Services S3 bucket május 24. Összességében az adatbázisban szereplő 20,4 millió fájlokat súlyú 845GB.

Az adatbázis egyik érdekes dolga az volt, hogy az általa feltárt személyes azonosítással kapcsolatos információk korlátozottak voltak. Meglehetősen sok médiafájl volt, és biztosak vagyunk benne, hogy a tulajdonosok szerette volna, ha a magántulajdonban maradnak. Számos szexuálisan kifejezett fénykép látható, amelyekben arcok láthatók, a csevegési beszélgetések képernyőképei, a hangüzenetek, valamint a pénzügyi tranzakciók részletei.

A kitett felhasználók magánéletének védelme érdekében a kutatók úgy döntöttek, hogy nem alaposan bélyegzik át az adatokat, ami azt jelenti, hogy lehetetlen pontosan megbecsülni az érintett személyek pontos számát. Rotem és Locar azonban jelentésükben kijelentették, hogy több százezer és esetleg több millió felhasználó vesz részt a projektben.

Az adatokat több társkereső alkalmazás kiszivárogtatta. A kutatók vizsgálata egy "Cheng Du New Tech Zone" nevű társasághoz vezette őket, amelyet felvesztek a Google Play többcsatlakozási alkalmazásának kapcsolattartási szakaszában. Az alkalmazások weboldalának kialakításában szereplő hasonlóságok megerősítették, hogy valószínűleg ugyanaz az embercsoport fejlesztette ki őket. Itt van a lista:

• GHunt
• Herpes Ismerkedés
• SugarD
• Casualx
• BBW Ismerkedés
• Xpal
• Meleg apa medve
• Cougary
• 3somes

A szakértők biztosak abban, hogy ez a kilenc alkalmazás részt vett a jogsértésben, ám úgy vélik, hogy az ugyanazon fejlesztő más alkalmazásai felhasználóit is érintheti.

A szivárgás következményei borzalmasak lehetnek

A jó hír az, hogy az adatok már nem online. Két nappal a szivárgó vödör felfedezése után a kutatók az egyik érintett alkalmazás elérhetőségi űrlapját használták fel, és meglepetésükre szinte azonnal megkaptak választ. A VPNMentor csapata a további információkérésre válaszolt az egyik adatbázis URL-jének elküldésével. Annak ellenére, hogy a fejlesztő úgy döntött, hogy nem kommunikál tovább a kutatókkal, az összes adat 24 órán belül elérhetővé vált. Az írás idején úgy tűnik, hogy néhány alkalmazást eltávolítottak a Google Playről.

Mindez jó és jó, de mondanom sem kell, hogy a fejlesztőnek elsősorban nem kellett volna hibáznia. Mint láthatja, nem a tipikus Tinder versenytársakról beszélünk. Az alkalmazások olyan szexuális preferenciákkal és fétisekkel foglalkoznak, akik megbélyegzésre kerülhetnek. Azok, akik ezeket használják, valószínűleg nem akarják nyilvánosan bejelenteni, és minden bizonnyal nem akarják feltárni azokat a képeket és beszélgetéseket, amelyeket megosztanak egymással. Ha az adatok rossz kezekbe kerülnek, akkor a bűnözők kiszivárogtathatják a képeket, megcsonkíthatják az érintett személyeket, vagy kiszoríthatják őket. Elveszhetnek a munkahelyek, a családok összetörtek és a hírneve tönkremehet.

A randevú-alkalmazások karbantartása mindig magasabb felelősségvállalást jelent. Az emberek ezeket a termékeket néha legmeghitt bizalmukkal bízják meg, és nyugodtan mondhatjuk, hogy a Cheng Du New Tech Zone randevú alkalmazásaiban a bizalmuk helytelen volt. Az egyetlen dolog, amit most megtehetnek, az, hogy remélem, hogy az első bekezdésben tárgyalt kutatási cikk megállapításai ellenére a VPNMentor szakemberein kívül senki más nem látta a kifejezett adatokat.