VirusTotal is een populaire en veelgebruikte dienst voor het online scannen van verdachte bestanden, maar de Windowstool van de dienst om bestanden te uploaden bevat twee privacylekken, zo ontdekte onderzoeker Eitan Caspi. Via VirusTotal kunnen gebruikers verdachte bestanden, url's, domeinen en ip-adressen door zo'n 60 verschillende anti-virusprogramma's en blacklistingdiensten laten controleren.

Naast de website is er ook de VirusTotal Windows Uploader. Dit is een desktopapplicatie waarmee gebruikers via één muisklik bestanden naar de online scandienst kunnen uploaden. Caspi ontdekte dat het uploaden via het onbeveiligde http plaatsvindt. De VirusTotal-website maakt daarentegen wel gebruik van https. Verder wordt er bij het uploaden niet alleen de naam en extensie van het bestand geupload, maar ook het volledige pad van het bestand, dat gevoelige informatie kan bevatten. Bijvoorbeeld c:\users\dan\Downloads\file-name.exe.

"Ik besef dat de app vrij oud is", aldus Caspi. "Maar ik had niet verwacht dat zowel VirusTotal als moederbedrijf Google, die beiden om informatiebeveiliging geven, zo'n zwak privacyontwerp jaren laten zitten, zonder gebruikers hierover te informeren." De onderzoeker waarschuwde VirusTotal. De online scandienst laat weten dat de VirusTotal Windows Uploader al enige tijd niet is bijgewerkt en dit soort problemen aanwezig zijn. In afwachting van een mogelijke update wordt gebruikers gewezen op de mogelijkheid om via de beschikbare programmeerinterface zelfs een uploadtool te maken.