Chinese dating-apps richten zich op Amerikanen Exposeeren 42,5 miljoen online records …

Chinese dating-apps richten zich op Amerikanen Exposeeren 42,5 miljoen online records …

juni 13, 2019 0 Door admin

 

Op 25 mei ontdekte ik een niet-wachtwoordbeveiligde Elastic-database die duidelijk was gekoppeld aan dating-apps op basis van de namen van de mappen. Het IP-adres bevindt zich op een Amerikaanse server en een meerderheid van de gebruikers lijkt Amerikanen te zijn op basis van hun gebruikers-IP en geolocaties. Ik merkte ook Chinese tekst in de database met opdrachten zoals:

  • 模型更新完成事件已触发,同步用户到
  • volgens Google Translate: De voltooiingsgebeurtenis van de modelupdate is geactiveerd en gesynchroniseerd met de gebruiker.

Het vreemde aan deze ontdekking was dat er meerdere datatoepassingen waren die alle data in deze database opsloegen. Na verder onderzoek kon ik dating-apps identificeren die online beschikbaar zijn met dezelfde namen als die in de database. Wat me echt raar vond, was dat ondanks het feit dat ze allemaal dezelfde database gebruiken, ze beweren te zijn ontwikkeld door afzonderlijke bedrijven of individuen die niet met elkaar lijken overeen te komen. De Whois-registratie voor een van de sites maakt gebruik van wat een vals adres en telefoonnummer lijkt te zijn. Verschillende van de andere sites zijn privé geregistreerd en de enige manier om contact met hen op te nemen is via de app (zodra deze op uw apparaat is geïnstalleerd).

Het vinden van verschillende echte gebruikersidentiteiten was eenvoudig en duurde slechts een paar seconden om ze te valideren. De datatoepassingen hebben het IP-adres, de leeftijd, locatie en gebruikersnamen van de gebruiker vastgelegd en opgeslagen. Zoals de meeste mensen is je online persona of gebruikersnaam meestal goed gemaakt in de loop van de tijd en dient het als een unieke cyber-vingerafdruk. Net als een goed wachtwoord gebruiken veel mensen het steeds opnieuw op meerdere platforms en services. Dit maakt het extreem gemakkelijk voor iemand om u te vinden en te identificeren met zeer weinig informatie. Bijna elke unieke gebruikersnaam die ik controleerde verscheen op meerdere datingsites, forums en andere openbare plaatsen. Het IP-adres en de geolocatie die in de database zijn opgeslagen, bevestigden de locatie die de gebruiker in zijn andere profielen had geplaatst met dezelfde gebruikersnaam of inlog-ID.

Gebruikersnamen zijn vingerafdrukken:

Verantwoordelijke openbaarmaking:

Wij van Security Discovery volgen altijd een verantwoord openbaarmakingsproces als het gaat om de gegevens die we ontdekken en zorgen er meestal voor dat bedrijven of organisaties de toegang ontzegd voordat we een verhaal publiceren. In dit geval lijkt de enige contactinformatie die we kunnen vinden echter nep en de enige andere manier om contact op te nemen met de ontwikkelaar, is door de app te installeren. Als iemand die erg veiligheidsbewust is, begrijp ik dat het installeren van onbekende apps een potentieel ernstig beveiligingsrisico kan vormen.

Ik heb 2 meldingen verzonden naar e-mailaccounts die waren gekoppeld aan de domeinregistratie en een van de websites. In mijn zoektocht naar contactgegevens of meer informatie over het eigendom van deze database, was de enige echte aanwijzing die ik vond de Whois-domeinregistratie. Het adres dat daar werd vermeld was Lijn 1, Lanzhou en toen ik probeerde om het adres te valideren, ontdekte ik dat Lijn 1 een metrostation is en een metrolijn is in Lanzhou. Het telefoonnummer is eigenlijk alle 9’s en toen ik belde was er een bericht dat de telefoon was uitgeschakeld.

Ik zeg niet of suggereer niet dat deze applicaties of de ontwikkelaars achter hen enige snode plannen of functies hebben, maar elke ontwikkelaar die zijn uiterste best doet om zijn identiteit of contactgegevens te verbergen, roept mijn vermoedens op. Noem me ouderwets, maar ik blijf sceptisch over apps die zijn geregistreerd via een metrostation in China of ergens anders.

De apps die in de database worden genoemd, omvatten een breed scala om zoveel mogelijk mensen aan te spreken:

  • Cougardating (dating app voor het ontmoeten van cougars en pittige jonge mannen: volgens de site)
  • Christiansfinder (een app voor christelijke singles om ideale match online te vinden)
  • Mingler ( interracial dating-app )
  • Fwbs (Vrienden met voordelen)
  • “TS” Ik kan alleen maar speculeren dat het een app is met de naam “TS”, een transseksuele dating-app

Sommige van de apps zijn gratis en bieden betaalde versies, maar de keerzijde is dat er meer informatie kan worden verzameld dan gebruikers weten. Hoewel de database geen factureringsinformatie of gemakkelijk identificeerbare gegevens bevatte, stelde deze gebruikers nog steeds bloot aan een mogelijk verontrustende situatie waarin informatie over hun seksuele voorkeuren, levensstijlkeuzes of ontrouw openbaar beschikbaar kon zijn. Zoals ik eerder heb vermeld, is het voor iedereen gemakkelijk om een ​​groot aantal gebruikers met relatieve nauwkeurigheid te identificeren op basis van hun “gebruikers-ID”.

Waar ik me het meest zorgen over maak, is dat de vrijwel anonieme app-ontwikkelaars volledige toegang hebben tot de telefoons, gegevens en andere mogelijk gevoelige informatie van gebruikers. Het is aan de gebruikers om zichzelf te informeren over het delen van hun gegevens en te begrijpen aan wie zij die gegevens geven. Dit is nog een wake-up call voor iedereen die zijn privégegevens deelt in ruil voor een soort van service.

*** LET OP *** Op het moment van publicatie was de database nog steeds voor het publiek toegankelijk. Ondanks het grote aantal gebruikers was er geen PII. Niemand heeft op de meldingen gereageerd en we hebben dit artikel gepubliceerd om de gebruikers van deze apps bewust te maken van wie de gevolgen kunnen zijn en hopen de ontwikkelaars bewust te maken van de gegevensblootstelling.

Lees Meer