Whisper, een app voor sociale media die anonimiteit belooft, beschikt over 900 miljoen gebruikersrecords

Het verschil tussen Whisper en meer conventionele sociale mediaplatforms zoals Facebook of Twitter is dat u geen persoonlijke informatie hoeft in te voeren om deze te gebruiken. In plaats daarvan kiest u gewoon een gebruikersnaam, geeft u aan hoe oud u bent en kunt u uw gedachten vrijelijk delen. Omdat dit een sociaal netwerk is, krijgen andere mensen ze wel te zien, maar ze hebben geen idee wie ze heeft geschreven.

Whisper heeft 900 miljoen gebruikersrecords achtergelaten in een onbeschermde database

Vanwege de beloofde anonimiteit worden gebruikers aangemoedigd om dingen te plaatsen die ze normaal niet zouden publiceren, en hun wordt verteld dat ze door Whisper te gebruiken hun diepste geheimen delen op 'de veiligste plek op internet'. Het is een gewaagde bewering die enigszins raar klinkt als je bedenkt dat de officiële website van de app standaard via HTTP laadt in plaats van HTTPS. Het wordt nog vreemder als je je realiseert dat dezelfde applicatie een database heeft verlaten met niet minder dan 900 miljoen gebruikersrecords die zijn blootgesteld aan internet.

De ontdekking werd vorige week gedaan door onderzoekers van Twelve Security. Het 5TB Elasticsearch-cluster was toegankelijk voor iedereen die met internet was verbonden, het was niet beveiligd met een wachtwoord en een deel van de informatie die erin was opgenomen, dateerde uit de lancering van Whisper in 2012.

Was de gegevensblootstelling zo ernstig?

Kort nadat ze de database hadden ontdekt, namen de experts van Twelve contact op met de FBI en The Washington Post. The Post hielp hen in contact te komen met MediaLab, de ontwikkelaar van de applicatie, en maandag werd de database offline gehaald. Ondanks de relatief snelle reactie, stelde MediaLab dat er niets te bezorgd is over het lek.

Volgens vertegenwoordigers die met The Washington Post spraken, hadden gebruikers vrijwillig besloten om de meeste gegevens toch binnen de Whisper-app te delen, wat betekende dat hoewel het niet de bedoeling was, de blootstelling niet zo'n groot probleem was. Ze hadden het over de miljoenen gebruikersposts die waren gelekt, en hun argument was dat het lek de anonimiteit van gebruikers niet in direct gevaar bracht. De beveiligingsexperts waren daar echter niet zo zeker van.

De lekkende database bevatte geen namen, maar bevatte de aangegeven leeftijd, geslacht, woonplaats, bijnaam en groepslidmaatschappen van individuele gebruikers. Als iemand de identiteit van een Whisper-gebruiker probeerde te achterhalen, hadden die gegevens de mogelijkheden aanzienlijk kunnen verkleinen. Koppel dit aan het feit dat de laatst bekende locatie van de getroffen gebruikers ook werd onthuld, en je zult zien dat het binden van een gelekte post aan een echt individu verre van onmogelijk was. Na het rapport van The Post kwam The Register ook in contact met de onderzoekers en realiseerde zich dat het bereik van blootgestelde metadata zelfs groter was dan aanvankelijk was verwacht. Het bleek dat ook wachtwoordtokens in de database waren opgenomen, en de onderzoekers bevestigden dat ze met deze accounts konden inloggen op de accounts van mensen. Plots leek het probleem veel groter dan de vertegenwoordigers van MediaLab je zouden doen geloven. Voor degenen onder u die het nieuws rond de Whisper-app nauwlettend volgen, kan dit een beetje een déjà vu-moment zijn.

Dit is niet de eerste veiligheidsgerelateerde controverse rond Whisper

In 2014 werden Guardian- verslaggevers uitgenodigd op het hoofdkantoor van Whisper om een mogelijke samenwerking tussen de nieuwsuitzending en de toepassing voor sociale media te bespreken. Terwijl ze daar waren, ontdekten ze dat Whisper mechanismen had die de locatie van mensen zouden volgen, zelfs als de gebruikers zich hier expliciet voor hadden afgemeld.

Nadat het rapport uitkwam, ontkenden vertegenwoordigers van het sociale netwerk alle beschuldigingen en beschuldigden de Britse krant publiekelijk van leugens. Uiteindelijk werden de genoemde vertegenwoordigers ontslagen en werd het volgen blijkbaar gestopt.

Op dit moment proberen de medewerkers van MediaLab opnieuw het publiek te overtuigen dat de zaken niet zo slecht zijn als de nieuwsberichten suggereren, en helaas moeten we zeggen dat ze niet echt genoeg hebben gedaan om ons te verzekeren dat dit meer is dan alleen een poging om de ernst van de situatie te bagatelliseren.