Datingappar skyddar inte sina kunder igen: 6 appar läcker miljoner poster
En av de saker vi älskar mest på internet är det faktum att vi kan hitta så mycket information om det. Det är konstigt att en av de saker vi hatar med internet mest är också att vi kan hitta så mycket information om det. Säkerhetsforskare från WizCase upptäckte till exempel nyligen att om de visste vart de skulle leta kan användare av sex dejting-appar hitta sina personliga detaljer exponerade i databaser som inte var skyddade med ett lösenord och var tillgängliga var som helst i världen.
Table of Contents
Fem dåligt säkrade databaser läcker miljoner poster full av personlig information
Experterna upptäckte tre ElasticSearch-installationer, en Amazon S3 Bucket och en MongoDB-databas exponerad för internet och tillgänglig utan någon form av autentisering. Två av leverantörerna är USA-baserade, två är belägna i Sydkorea och en verkar i Japan, och de driver alla dejtingsajter och applikationer. Här är namnen på tjänsterna och de data som de läckte ut:
- CatholicSingles.com
- SPYKX.com
- Tiki
- Suddigt
- Charin och Kyuun
S3-hinken vägde bara på 17MB och innehöll en något blygsam 50 tusen poster. De flesta profiler verkar vara förbjudna, men den senaste inspelade aktiviteten är nyligen, vilket visar att de läckta uppgifterna troligen är giltiga. Det inkluderar saker som namn, e-postadresser, telefonnummer, ålder, kön, yrke, faktureringsadresser, betalningsmetoder etc.
SPYKX.com är en sydkoreansk leverantör som utvecklar och driver flera olika tjänster. En av dem är en datingapplikation som heter Condaq / Kongdak, och av någon anledning har utvecklaren beslutat att det skulle vara en bra idé att lägga till en del av appens användardata på en oskyddad ElasticSearch-server. Cirka 123 tusen poster exponerade 600 MB personliga uppgifter, inklusive e-postadresser, klartextlösenord, födelsedatum och till och med GPS-data.
Tiki är, enligt uppgift, "en ny typ av dating-app", och enligt sin webbplats har användaren kontroll över typen av personlig information som potentiella datum får se. Detta påstående är särskilt ironiskt med tanke på att Tikis utvecklare placerade en del av den nämnda informationen i en MongoDB-databas som var tillgänglig med en enkel webbläsare. Drygt 4 000 poster exponerades och de inkluderade allt från användarbetyg och aktivitetsloggar till namn, telefonnummer, datumplatser etc.
Blurry är en sydkoreansk dateringsapplikation som låter användare suddiga skärmen under videosamtal. Det är förmodligen inriktat på användare som är för blyg att interagera eller inte är särskilt säkra på sitt utseende, och du kan bara tänka dig hur dessa människor kommer att känna när de får veta att några av deras privata konversationer utsattes av en dåligt konfigurerad ElasticSearch-server. De 70 000 posten innehöll inga personliga detaljer, men de läckta meddelandena var fulla av WhatsApp-nummer, Instagram-handtag och annan information som kunde utsätta offret för alla slags attacker.
Ytterligare en felkonfigurerad ElasticSearch-databas tillhör utvecklarna av Charin och Kyuun - två japanska appar som verkar drivas av samma företag. Det var den absolut största läckan, med 57 GB exponerade data och drygt 100 miljoner poster öppna för allmänheten. Bekymrat, förutom användar-ID, information om mobilenheter och sökpreferenser, innehöll databasen e-postadresser och lösenord i vanlig text.
Det var redan en ganska betydande läcka, men WizCases utredning slutade inte där.
Experterna kunde inte identifiera ägarna till ytterligare sex oskyddade databaser
Forskarna upptäckte ytterligare sex osäkra databaser fulla av data. Återigen påverkades användarna av dejtingstjänsterna, men den här gången verkade det som om utvecklarna inte var ansvariga för läckan.
Experterna lyckades länka data till flera appar - Zhenai, Say Love, Netease, Love Chat och Companion. De sa emellertid att databaserna inte innehöll någon personlig identifierbar information och var troligtvis resultatet av webbskrotning. De också att cyberbrottslingar kan använda informationen i dem för att identifiera andra offentligt tillgängliga profiler och potentiellt få tillgång till mer känslig information.
Vad behöver användare se upp för?
Det är aldrig kul att se datingappar läcka användardata. Även om de tjänster vi pratar om i dag inte är lika nischer som de vi diskuterade för några veckor sedan, kanske de drabbade individerna inte nödvändigtvis är angelägna om att hela världen vet att de använder dem.
Tyvärr, eftersom så många appar är involverade, har vi inget sätt att veta hur många människor som drabbas av läckorna. Vad vi emellertid vet är att om du har använt någon av de tjänster som nämns i den här artikeln, måste du vara mycket noggrannare än du vanligtvis är. Uppgifterna i några av databaserna kan ge cyberbrottslingar allt de behöver för att efterge dig och stjäla din online identitet. Dessutom kan de använda den för att hitta mer information om dig och införa ytterligare attacker.
Utpressning försök baserat på det faktum att du använder en dating app är inte ifrågasatt i vissa fall, och de exponerade klartextlösenorden kommer nästan säkert att användas i referensstoppningsattacker.
