Daugiau nei 20 milijonų failų nutekėjo 9 skirtingose pažinčių programose

Dating Apps Data Leak

Norėdami įrodyti, kaip pavojingos gali būti neužtikrintos duomenų bazės, grupė tyrėjų neseniai užpildė „Elasticsearch“ instaliaciją fiktyviais duomenimis, sąmoningai neteisingai ją sukonfigūravo ir laukė, kol užtruks, kol įsilaužėliai ją suras ir pradės šifruoti informaciją. Pirmasis išpuolis buvo įvykdytas per aštuonias valandas nuo duomenų bazės prisijungimo prie interneto, o per kitas dešimt dienų medunešis buvo prieinamas vidutiniškai aštuoniolika kartų per dieną. Šie rezultatai turėtų ypač suerzinti kelių nišinių pažinčių programų vartotojus, kurie, kaip jau spėjote atspėti, dalį savo duomenų saugojo prastai apsaugotoje duomenų bazėje.

Mažiausiai devynios pasimatymų programos atskleidė aiškius vartotojo duomenis neužtikrintame S3 segmente

Tai yra naujausia per ilgą atradimų eilę, kurią padarė „VPNMentor“ tyrėjų komanda, vadovaujama Noamo Rotemo ir Ran Locaro. Kaip jų didžiulės interneto kartografavimo projekto dalis, jie yra neužtikrintos "Amazon Web Services S3 kibiras gegužės 24. Iš viso duomenų bazėje esančius 20,4 mln failus sveria 845GB.

Vienas iš įdomių duomenų bazės dalykų buvo tas, kad asmeniškai identifikuojama informacija, kurią ji paviešino, buvo ribota. Vis dėlto žiniasklaidos failų buvo gana daug, ir mes esame tikri, kad jų savininkai norėjo, kad jie liktų privatūs. Buvo daug seksualinio pobūdžio nuotraukų, kuriose matomi veidai, pokalbių pokalbių ekrano nuotraukos, balso žinutės, taip pat išsami informacija apie finansines operacijas.

Siekdami apsaugoti paveiktų vartotojų privatumą, tyrėjai nusprendė išsamiai nesinaudoti duomenimis, o tai reiškia, kad neįmanoma teisingai įvertinti tikslaus paveiktų asmenų skaičiaus. Rotem ir Locar savo pranešime vis dėlto teigė, kad tai susiję su šimtais tūkstančių ir galbūt milijonų vartotojų.

Duomenis nutekino kelios pasimatymų programos. Tyrėjų tyrimas paskatino juos įkurti bendrovę, pavadintą „Cheng Du New Tech Zone“, kuri buvo įtraukta į „Google Play“ kelių prisijungimo programų kontaktų skiltį. Programų svetainių dizaino panašumai patvirtino, kad greičiausiai juos kuria ta pati žmonių grupė. Štai sąrašas:

  • GHunt
  • Herpes pažintys
  • CukrusD
  • „Casualx“
  • BBW pasimatymai
  • Xpal
  • Gėjų tėvelis
  • Cougary
  • 3somes

Ekspertai įsitikinę, kad pažeidime dalyvavo šios devynios programos, tačiau jie mano, kad tai taip pat gali paveikti to paties kūrėjo kitų programų vartotojus.

Nuotėkio pasekmės gali būti siaubingos

Geros naujienos yra tai, kad duomenys nebėra internete. Po dviejų dienų, atradę nesandarų kibirą, tyrėjai pasinaudojo vienos paveiktos programos kontaktine forma ir, kad nustebintų, beveik iškart gavo atsakymą. „VPNMentor“ komanda atsakė į prašymą suteikti daugiau informacijos atsiųsdama vienos iš duomenų bazių URL. Nepaisant to, kad kūrėjas nusprendė daugiau nebendrauti su tyrėjais, visi duomenys buvo neprisijungę per 24 valandas. Rašymo metu atrodo, kad kai kurios programos taip pat buvo pašalintos iš „Google Play“.

Visa tai gerai ir gerai, tačiau nereikia sakyti, kad kūrėjas visų pirma neturėjo padaryti klaidos. Kaip matote, mes nekalbame apie jūsų tipinius „Tinder“ konkurentus. Programos yra skirtos žmonėms, turintiems tam tikrų seksualinių polinkių ir fetišų, kurie gali būti stigmatiuojami. Tie, kurie jomis naudojasi, greičiausiai nenori to viešai skelbti, ir jie tikrai nenorėtų atskleisti nuotraukų ir pokalbių, kuriais dalijasi vieni su kitais. Jei duomenys patenka į netinkamas rankas, nusikaltėliai gali paviešinti vaizdus, nužudyti nukentėjusius asmenis arba juos ištremti. Galima prarasti darbą, sugriauti šeimas ir sugriauti reputaciją.

Pažinčių programų palaikymas visada reiškia didesnę atsakomybę. Žmonės kartais pasitiki šiais produktais savo intymiausiomis paslaptimis ir galime drąsiai teigti, kad Cheng Du New Tech Zone pažinčių programų atveju jų pasitikėjimas buvo netinkamas. Vienintelis dalykas, kurį jie gali padaryti dabar, yra viltis, kad nepaisant išvadų tyrimo dokumente, apie kurį kalbėjome pirmoje pastraipoje, niekas kitas, išskyrus „VPNMentor“ ekspertus, nematė aiškių duomenų.

June 16, 2020
Įkeliama ...

Cyclonis Backup Details & Terms

The Free Basic Cyclonis Backup plan gives you 2 GB of cloud storage space with full functionality! No credit card required. Need more storage space? Purchase a larger Cyclonis Backup plan today! To learn more about our policies and pricing, see Terms of Service, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.

Cyclonis Password Manager Details & Terms

FREE Trial: 30-Day One-Time Offer! No credit card required for Free Trial. Full functionality for the length of the Free Trial. (Full functionality after Free Trial requires subscription purchase.) To learn more about our policies and pricing, see EULA, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.