Dating-apps kunnen hun klanten niet opnieuw beschermen: 6 apps lekken miljoenen records
Een van de dingen die we het leukst vinden aan internet is het feit dat we er zoveel informatie over kunnen vinden. Vreemd genoeg is een van de dingen die we het meest haten aan internet, ook het feit dat we er zoveel informatie over kunnen vinden. Zo ontdekten beveiligingsonderzoekers van WizCase onlangs dat als ze wisten waar ze moesten zoeken, gebruikers van zes dating-apps hun persoonlijke gegevens konden vinden in databases die niet met een wachtwoord waren beveiligd en overal ter wereld toegankelijk waren.
Table of Contents
Vijf slecht beveiligde databases lekken miljoenen records vol met persoonlijke informatie
De experts ontdekten drie ElasticSearch-installaties, een Amazon S3-bucket en een MongoDB-database die is blootgesteld aan internet en toegankelijk is zonder enige vorm van authenticatie. Twee van de leveranciers zijn gevestigd in de VS, twee zijn gevestigd in Zuid-Korea en één is actief in Japan, en ze beheren allemaal datingwebsites en -applicaties. Hier zijn de namen van de services en de gegevens die ze hebben gelekt:
- CatholicSingles.com
- SPYKX.com
- Tiki
- Wazig
- Charin en Kyuun
De S3-emmer woog slechts 17 MB en had een enigszins bescheiden 50 duizend records. De meeste profielen lijken te zijn verbannen, maar de laatste geregistreerde activiteit is recent, wat aantoont dat de gelekte gegevens waarschijnlijk geldig zijn. Het omvat zaken als namen, e-mailadressen, telefoonnummers, leeftijd, geslacht, beroep, factuuradressen, betalingsmethoden, enz.
SPYKX.com is een Zuid-Koreaanse leverancier die verschillende services ontwikkelt en uitvoert. Een daarvan is een datingapplicatie genaamd Condaq / Kongdak, en om een of andere reden heeft de ontwikkelaar besloten dat het een goed idee zou zijn om een deel van de gebruikersgegevens van de app op een onbeschermde ElasticSearch-server te zetten. Ongeveer 123 duizend records onthulden 600 MB aan persoonlijke gegevens, waaronder e-mailadressen, wachtwoorden in platte tekst, geboortedata en zelfs GPS-gegevens.
Tiki is naar verluidt 'een nieuw soort dating-app' en volgens zijn website heeft de gebruiker controle over het soort persoonlijke informatie dat potentiële datums te zien krijgen. Deze bewering is vooral ironisch gezien het feit dat de ontwikkelaar van Tiki sommige van de genoemde informatie in een MongoDB-database heeft geplaatst die toegankelijk was met een eenvoudige browser. Iets meer dan 4.000 records werden ontsloten en ze omvatten alles van gebruikersbeoordelingen en activiteitenlogboeken tot namen, telefoonnummers, datumlocaties, enz.
Blurry is een Zuid-Koreaanse datingapp waarmee gebruikers het scherm kunnen vervagen tijdens videogesprekken. Het is vermoedelijk bedoeld voor gebruikers die te verlegen zijn om te communiceren of die niet erg zeker zijn van hun uiterlijk, en je kunt je alleen maar voorstellen hoe deze mensen zich zullen voelen als ze horen dat sommige van hun privégesprekken werden onthuld door een slecht geconfigureerde ElasticSearch-server. De 70 duizend records bevatten geen persoonlijke gegevens, maar de gelekte berichten stonden vol met WhatsApp-nummers, Instagram-handvatten en andere informatie die het slachtoffer aan allerlei soorten aanvallen zou kunnen blootstellen.
Nog een andere verkeerd geconfigureerde ElasticSearch-database is van de ontwikkelaars van Charin en Kyuun - twee Japanse apps die door hetzelfde bedrijf lijken te worden beheerd. Het was verreweg het grootste lek, met 57 GB aan blootgestelde gegevens en iets meer dan 100 miljoen records die open waren voor het publiek. Zorgwekkend genoeg bevatte de database naast gebruikers-ID's, informatie over mobiele apparaten en zoekvoorkeuren e-mailadressen en wachtwoorden in platte tekst.
Het was al een behoorlijk groot lek, maar het onderzoek van WizCase stopte daar niet.
De experts konden de eigenaren van nog eens zes onbeveiligde databases niet identificeren
De onderzoekers ontdekten nog zes onbeveiligde databases vol data. Opnieuw werden de gebruikers van datingservices getroffen, maar deze keer bleek dat de ontwikkelaars niet verantwoordelijk waren voor het lek.
De experts zijn erin geslaagd om de gegevens aan verschillende apps te koppelen - Zhenai, Say Love, Netease, Love Chat en Companion. Ze zeiden echter dat de databases geen persoonlijk identificeerbare informatie bevatten en hoogstwaarschijnlijk het resultaat waren van webscraping. Ze stellen ook dat cybercriminelen de informatie erin kunnen gebruiken om andere openbaar beschikbare profielen te identificeren en mogelijk toegang te krijgen tot gevoeliger gegevens.
Waar moeten gebruikers op letten?
Het is nooit leuk om te zien dat dating-apps gebruikersgegevens lekken. Hoewel de services waar we het vandaag over hebben niet zo niche zijn als degene die we een paar weken geleden bespraken, zijn de getroffen personen misschien niet per se enthousiast over de hele wereld, wetende dat ze ze gebruiken.
Omdat er zoveel apps bij betrokken zijn, kunnen we helaas niet weten hoeveel mensen door de lekken worden getroffen. Wat we echter wel weten, is dat als je een van de services die in dit artikel worden genoemd, hebt gebruikt, je veel voorzichtiger moet zijn dan je normaal bent. De gegevens in sommige databases kunnen cybercriminelen alles bieden wat ze nodig hebben om zich voor u uit te geven en uw online identiteit te stelen. Bovendien kunnen ze het gebruiken om meer informatie over u te vinden en aanvullende aanvallen uit te voeren.
Afpersingspogingen op basis van het feit dat u een dating-app gebruikt, zijn in sommige gevallen niet uitgesloten, en de blootgestelde wachtwoorden in leesbare tekst zullen vrijwel zeker worden gebruikt bij aanvulaanvallen .
