Spywarebedrijf lekt selfies, sms-berichten en locatiedata klanten
Een softwarebedrijf dat spyware voor ouders en werkgevers ontwikkelt heeft de vertrouwelijke data van 2200 klanten gelekt. Het gaat om het bedrijf SpyFone, de ontwikkelaar van "eenvoudig te gebruiken monitoring" waarmee ouders hun kinderen in de gaten kunnen houden, zo meldt Vice Magazine.
Ook richt het bedrijf zich op werkgevers, zodat die kunnen controleren of werknemers wel verantwoord omgaan met de zakelijke telefoon. Via de software is het mogelijk om gesprekken op te nemen, de locatie van de gebruiker te volgen, foto's te bekijken, berichten in chatapplicaties te lezen, bezochte websites te achterhalen en live met de gebruiker mee te kijken. Een bijbehorende analysetool kan pdf- of Excel-bestanden genereren waarmee er "gedetailleerd inzicht" kan worden verkregen in de activiteiten van het kind of de werknemer.
Een beveiligingsonderzoeker ontdekte een onbeveiligde Amazon S3-bucket van SpyFone die voor iedereen op internet toegankelijk was. Dit is de cloudopslagdienst van Amazon waar organisaties allerlei gegevens kunnen opslaan. De bucket bevatte volgens de onderzoeker "terabytes" aan data, waaronder selfies, sms-berichten, audio-opnamen, adresboeken, locaties, gehashte wachtwoorden, Facebookberichten en foto's van 2200 klanten. Deze klanten zouden bij elkaar bijna 3700 telefoons volgen. Verder bevatte de data ook 44.000 unieke e-mailadressen.
Tevens bleken de backenddiensten van het bedrijf onbeveiligd te zijn. De onderzoeker kon zo zonder wachtwoord inloggen, zelf een beheerdersaccount aanmaken en allerlei klantgegevens bekijken. SpyFone heeft het datalek inmiddels bevestigd en zegt dat het een onderzoek is gestart. "We verwachten dat dit datalek de laatste zal zijn", aldus een woordvoerder van het bedrijf.
Ik durf te stellen dat "Dit het eerste lek is van nog velen te komen" bij dit bedrijf. Tenzij ze direct failliet gaan. Dan hebben ze gelijk.
Waarom krijgt zo'n bedrijf geen boete van 2200 * 1000 euro/dollar? Waarom mogen bedrijven nog steeds onze privacy te grabbel gooien. Beveiliging bestaat al zolang het internet er is (20 jaar). Dat is toch genoeg tijd om het goed te doen? En bij fouten gewoon straffen? Hoelang nog......
TheYOSH
Heb medelijden met die kinderen waar ouders dit soort software hebben geinstalleerd, zou zo maar kunnen dat er later ineens prive fotos van hun opduiken die echt prive hadden moeten blijven. Als een bedrijf dit soort software verplichten bij werknemers dan zijn ze denk ik in stijd met de AVG / GDPR, er wordt veel meer data verzameld dan nodig.
Geen idee, op basis waarvan concludeer je dat ze geen boete krijgen ?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
