7 provider VPN sono accusati di aver perso le informazioni personali di 20 milioni di utenti

In queste pagine abbiamo spesso affermato che tutto ciò che leggi su Internet dovrebbe essere preso con un pizzico di sale e, sfortunatamente, abbiamo troppi esempi del perché questo consiglio è più valido che mai. Un team di ricercatori di VPNMentor ci ha fornito di recente un altro.

La scoperta ha riguardato un totale di sette app di rete privata virtuale (VPN) che promettono di non archiviare o registrare dati personali e di attività delle persone che le utilizzano. In realtà, tuttavia, i ricercatori hanno dimostrato che le app non stavano solo registrando molte informazioni, ma le stavano anche inserendo in un server che le esponeva in tutto il mondo.

Le app VPN inseriscono i dati degli utenti in un database Elasticsearch non protetto

I nomi delle app sono UFO VPN, Fast VPN, Free VPN, Super VPN, Flash VPN, Secure VPN e Rabbit VPN. Le app possono avere nomi diversi, ma i ricercatori sono quasi convinti di essere stati creati dallo stesso sviluppatore. Hanno tutti sede a Hong Kong, alcuni hanno siti Web dall'aspetto simile e, ultimo ma non meno importante, memorizzano tutti i dati degli utenti sulla stessa infrastruttura di back-end.

Sfortunatamente, gli esperti hanno scoperto le ultime informazioni dopo aver trovato un database Elasticsearch che non era protetto da password e che ospitava circa 1,2 TB di dati utente. Se si credono le basi di utenti dichiarate dai provider VPN, il numero di individui colpiti potrebbe raggiungere i 20 milioni e, per alcuni di essi, le conseguenze della perdita potrebbero essere piuttosto gravi.

Sono stati esposti dati personali, password in chiaro e registri attività

I ricercatori erano curiosi di scoprire se le informazioni erano reali. Per fare ciò, hanno scaricato una delle app (UFO VPN), si sono iscritte e hanno iniziato a usarla. Pochi istanti dopo, l'indirizzo e-mail e la password in chiaro utilizzati per registrare l'account sono apparsi nel database non protetto di Elasticsearch.

Oltre ai dati di accesso, gli esperti hanno trovato molte informazioni di identificazione personale, inclusi nomi, indirizzi fisici e IP di casa. I collegamenti sensibili alle API PayPal potrebbero rivelare il pagamento dei conti dei clienti presso il processore dei pagamenti e c'erano anche informazioni su quali server si collegavano quando utilizzavano le app.

Una delle scoperte più scioccanti dei ricercatori, tuttavia, è stata la presenza di registri di attività. Gli esperti di VPNMentor hanno condiviso schermate di record che contengono la posizione dell'utente, il tipo di connessione che stavano usando, il timestamp e il dominio che stavano cercando di raggiungere. Tanto per le affermazioni che non vengono archiviati dati di navigazione.

L'impatto per gli utenti potrebbe essere devastante

Le reti private virtuali fornite da queste sette app avevano pochissime informazioni private e questo potrebbe essere un grosso problema per le persone che le stavano usando. Uno degli screenshot condivisi da VPNMentor, ad esempio, mostra che una persona in Iran stava usando la VPN per visualizzare materiali per adulti. La pornografia è vietata in Iran e, se questa persona viene identificata, potrebbe trovarsi in prigione.

Inoltre, le VPN, in generale, sono spesso utilizzate da attivisti e persone che non vogliono davvero rivelare la loro vera identità e le sette app che hanno esposto i loro dati potrebbero averle messe in una situazione molto precaria. È positivo che il database sia stato protetto e che le informazioni non siano più accessibili pubblicamente. Abbatterlo è stato più difficile di quanto avrebbe dovuto, però.

I provider VPN affermano di non aver fatto nulla di male

Gli esperti di VPNMentor hanno scoperto il database il 5 luglio e si sono immediatamente messi in viaggio per informare i provider VPN. Inizialmente solo una delle società ha risposto, e sembrava non essere sicuro di cosa stesse succedendo. La comunicazione dei ricercatori con il Computer Emergency Response Team (CERT) di Hong Kong non ha dato alcun risultato. Poiché il server si trovava negli Stati Uniti, le autorità di Hong Kong potevano fare ben poco al riguardo.

Il 15 luglio, il database è stato finalmente messo offline e i ricercatori hanno ricevuto una risposta da UFO VPN, il più grande dei provider VPN interessati. L'email dice che UFO VPN ha trascurato l'errore di configurazione a causa di "modifiche del personale" relative alla pandemia di COVID-19. Hanno cercato di assicurare ai ricercatori che non memorizzano le password degli utenti in chiaro e che non registrano alcuna attività di navigazione. La perdita stessa è la prova che non era così.

Per un po 'di tempo, c'è stato un po' di dibattito se l'uso di una VPN sia una buona idea se vuoi nascondere la tua identità. Incidenti come questo certamente non aiutano il caso delle VPN e, nel corso degli anni, abbiamo sentito parlare di alcuni provider che non fanno abbastanza per proteggere la privacy degli utenti. Detto questo, una rete privata virtuale ben configurata offerta da una società che non vuole spiarti potrebbe essere estremamente utile non solo quando vuoi accedere a contenuti non disponibili nel tuo paese, ma anche quando stai provando a mantenere un livello di anonimato. In definitiva, perdite come questa dimostrano che gli utenti dovrebbero essere estremamente attenti quando scelgono un provider VPN.