7 dostawców VPN jest oskarżonych o ujawnienie danych osobowych 20 milionów użytkowników

Często mówiliśmy na tych stronach, że wszystko, co czytasz w Internecie, należy traktować z przymrużeniem oka i niestety mamy zbyt wiele przykładów, dlaczego ta rada jest ważniejsza niż kiedykolwiek. Zespół badaczy z VPNMentor dostarczył nam ostatnio kolejnego.

Odkrycie dotyczyło łącznie siedmiu aplikacji Virtual Private Network (VPN), z których wszystkie obiecują, że nie będą przechowywać ani rejestrować żadnych danych osobowych i danych dotyczących aktywności osób, które z nich korzystają. W rzeczywistości jednak naukowcy udowodnili, że aplikacje nie tylko zapisywały całkiem sporo informacji, ale także umieszczały je na serwerze, który wystawiał je całemu światu.

Aplikacje VPN umieszczają dane użytkowników w niezabezpieczonej bazie danych Elasticsearch

Nazwy aplikacji to UFO VPN, Fast VPN, Free VPN, Super VPN, Flash VPN, Secure VPN i Rabbit VPN. Aplikacje mogą mieć różne nazwy, ale naukowcy są prawie przekonani, że zostały stworzone przez tego samego programistę. Wszystkie mają siedzibę w Hongkongu, niektóre mają podobnie wyglądające strony internetowe i, co nie mniej ważne, wszystkie przechowują dane użytkowników w tej samej infrastrukturze zaplecza.

Niestety eksperci odkryli ostatnią informację po tym, jak znaleźli bazę danych Elasticsearch, która nie była chroniona hasłem i zawierała około 1,2 TB danych użytkownika. Jeśli wierzyć rzekomym bazom użytkowników VPN, liczba dotkniętych osób może sięgać nawet 20 milionów, a dla niektórych konsekwencje wycieku mogą być dość poważne.

Dane osobowe, hasła w postaci zwykłego tekstu i dzienniki aktywności zostały ujawnione

Badacze byli ciekawi, czy informacje są prawdziwe. Aby to zrobić, pobrali jedną z aplikacji (UFO VPN), zarejestrowali się i zaczęli z niej korzystać. Chwilę później adres e-mail i hasło w postaci zwykłego tekstu, których użyli do zarejestrowania konta, pojawiły się w niezabezpieczonej bazie danych Elasticsearch.

Oprócz danych logowania eksperci znaleźli sporo danych osobowych, w tym nazwiska, adresy fizyczne i domowe adresy IP. Wrażliwe linki do API PayPal mogą ujawniać konta płacących klientów w procesorze płatności, a także informacje o serwerach, z którymi się łączyli, kiedy korzystali z aplikacji.

Jednak jednym z najbardziej szokujących odkryć naukowców była obecność dzienników aktywności. Eksperci VPNMentor udostępnili zrzuty ekranu rekordów zawierających lokalizację użytkownika, typ używanego połączenia, sygnaturę czasową i domenę, do której próbowali dotrzeć. To tyle, jeśli chodzi o twierdzenia, że nie są przechowywane żadne dane przeglądania.

Skutki dla użytkowników mogą być katastrofalne

Niewiele było informacji prywatnych na temat wirtualnych sieci prywatnych zapewnianych przez te siedem aplikacji, co może stanowić duży problem dla osób, które ich używają. Na przykład jeden ze zrzutów ekranu udostępnionych przez VPNMentor pokazuje, że osoba w Iranie korzystała z VPN do przeglądania materiałów dla dorosłych. Pornografia jest zabroniona w Iranie, a jeśli taka osoba zostanie zidentyfikowana, grozi jej kara więzienia.

Co więcej, sieci VPN są na ogół często używane przez aktywistów i osoby, które naprawdę nie chcą ujawniać swojej prawdziwej tożsamości, a siedem aplikacji, które ujawniły ich dane, mogło postawić ich w bardzo niepewnej sytuacji. Dobrze, że baza danych była zabezpieczona, a informacje nie są już publicznie dostępne. Jednak zniszczenie go było trudniejsze niż powinno.

Dostawcy VPN twierdzą, że nie zrobili nic złego

Eksperci VPNMentor odkryli bazę danych 5 lipca i natychmiast wyruszyli, aby poinformować dostawców VPN. Tylko jedna z firm odpowiedziała na początku i wydawało się, że nie jest pewna, co się dzieje. Komunikacja naukowców z Zespołem Reagowania na Awarie Komputerowe w Hongkongu (CERT) również nie przyniosła żadnych owoców. Ponieważ serwer znajdował się w Stanach Zjednoczonych, władze Hongkongu niewiele mogły z tym zrobić.

15 lipca baza danych została ostatecznie odłączona, a badacze otrzymali odpowiedź od UFO VPN, największego z dostawców VPN, których dotyczy problem. W e-mailu napisano, że UFO VPN przeoczyło błąd konfiguracji z powodu „zmian personalnych” związanych z pandemią COVID-19. Próbowali zapewnić badaczy, że nie przechowują haseł użytkowników w postaci zwykłego tekstu i nie rejestrują żadnych działań związanych z przeglądaniem. Sam wyciek jest dowodem na to, że tak nie było.

Od jakiegoś czasu trwa debata, czy używanie VPN jest dobrym pomysłem, jeśli chcesz ukryć swoją tożsamość. Incydenty takie jak ten z pewnością nie pomagają w przypadku VPN, a przez lata słyszeliśmy o wielu dostawcach, którzy nie robią wystarczająco dużo, aby chronić prywatność użytkowników. To powiedziawszy, dobrze skonfigurowana wirtualna sieć prywatna oferowana przez firmę, która nie chce Cię szpiegować, może być niezwykle przydatna nie tylko wtedy, gdy chcesz uzyskać dostęp do treści niedostępnych w Twoim kraju, ale także gdy próbujesz zachować poziom anonimowości. Ostatecznie przecieki takie jak ten dowodzą, że użytkownicy powinni zachować szczególną ostrożność przy wyborze dostawcy VPN.