Een Peekaboo Moments Datalek toont babyfoto's en -video's
Wanneer beveiligingsspecialisten u vertellen dat iedereen het slachtoffer kan worden van een datalek, overdrijven ze niet met de hoop iedereen in onnodige paniek te brengen. Dan Ehrlich van een beveiligingsadviesbureau genaamd Twelve Security heeft onlangs een vrij grote database ontdekt, waaruit bleek dat je niet eens hoeft te weten hoe je een elektronisch apparaat moet gebruiken om je privacy in gevaar te brengen.
De betreffende database werd gehost op servers die eigendom waren van Alibaba Cloud en bevatte ongeveer 100 GB aan informatie die tussen maart 2019 en januari 2020 werd verzameld. wat eruit zag als foto's en video's van baby's. Na een kort onderzoek besefte hij dat de gegevens lekten van Peekaboo Moments - een mobiele app die ouders helpt de groei van hun kinderen bij te houden.
Peekaboo Moments onthult tonnen persoonlijke gegevens
Ehrlich nam contact op met Jeremy Kirk van Information Security Media Group, die probeerde te helpen met de verantwoorde openbaarmaking van het incident. De twee drongen door de blootgestelde database en ontdekten dat deze meer dan 70 miljoen logbestanden bevatte, die, naast links naar foto's en video's, allerlei persoonlijke informatie bevatten die van zowel ouders als baby's was. De e-mailadressen die zijn gekoppeld aan 'ten minste' 800 duizend Peekaboo Moments-accounts zijn gevonden in de gegevens, evenals de API-sleutels waarmee gebruikers de app kunnen verbinden met hun Facebook-profielen. Gewapend met deze informatie kon een hacker toegang krijgen tot informatie die werd gedeeld op het sociale netwerk van Mark Zuckerberg, en de aanval werd nog eenvoudiger gemaakt omdat Peekaboo Moments enkele van zijn eigen API-sleutels blootlegde.
De logboeken bevatten ook gebruiksstatistieken en een verontrustende hoeveelheid informatie over baby's over de hele wereld. Naast foto's en video's lekte de database de geboortedata van de pasgeborenen en informatie over hun gewicht en lengte. Er werden ook GPS-gegevens gelekt, waardoor aanvallers de precieze locatie van kinderen konden bepalen.
Hoe zijn Peekaboo Moments in deze puinhoop terechtgekomen?
Als u het marketingmateriaal op de Google Play-pagina van Peekaboo Moments leest, blijft de indruk achter dat Bithouse, Inc., de ontwikkelaar van de app, zich volledig bewust is van hoe belangrijk het is om de gegevens van gebruikers privé te houden. De feiten suggereren echter anders.
De gelekte informatie werd op een onbeschermde Elasticsearch-server geplaatst die toegankelijk was voor iedereen met een browser en een internetverbinding. Bithouse is verre van het enige bedrijf dat deze fout heeft gemaakt, maar het feit dat er veel andere daders zijn, kan niet echt als een schuldbeperkende factor dienen, vooral als je weet dat de veiligheid van baby's op het spel staat. Volgens Dan Ehrlich is de verkeerd geconfigureerde database slechts het topje van de ijsberg.
Hij zei tegen Information Security Media Group dat 'alles' aan de app 'bizar gedaan en erg onzeker' is. Ehrlich ging niet te veel in op details, maar we zijn er vrij zeker van dat ten minste een deel van zijn kritiek iets te maken heeft met het feit dat standaard de officiële website van Peekaboo Moments (compleet met een inlogformulier op de startpagina) laadt onder HTTP in plaats van HTTPS.
Over de website van de app gesproken, als u er naartoe gaat, vindt u een aankondiging betreffende het datalek geschreven door Jason Liu, CEO van Peekaboo Moments. Volgens de verklaring werd het lek veroorzaakt door een verkeerd geconfigureerde logging-server die "een zeer klein deel" van gebruikersgegevens bevatte. Liu verontschuldigde zich voor de inbreuk, beloofde dat zijn bedrijf vanaf nu zal proberen het beter te doen en probeerde iedereen ervan te overtuigen dat behalve Ehrlich en Kirk geen externe mensen toegang hebben gehad tot de database. Blijkbaar zijn de links naar foto's en video's van kinderen niet langer actief omdat Bithouse de lekke database "kort" nadat het het eerste rapport had ontvangen, had beveiligd.
De versie van Jeremy Kirk is een beetje anders. Informatiebeveiliging Het rapport van Media Group zegt dat meerdere pogingen om in contact te komen met Jason Liu en zijn bedrijf mislukten. Volgens Kirk was het pas enkele uren nadat het verhaal uit was gegaan dat Bithouse een e-mail terugstuurde om te zeggen dat de server veilig is.
Hoe dan ook, het datalek van Peekaboo Moments kan als bewijs dienen dat cyberveiligheidsincidenten zelfs de meest onschuldige en kwetsbare leden van onze samenleving kunnen treffen. Deze specifieke inbreuk moet waarschijnlijk in gedachten worden gehouden de volgende keer dat u zich afvraagt welke app u moet gebruiken om foto's van uw kind te delen.
