Een commerciële spyware-app gericht op ouders, werkgevers en wantrouwende partners heeft de data van duizenden slachtoffers via een verkeerd geconfigureerde server gelekt. De app in kwestie heet KidsGuard en maakt het mogelijk om de locatie te volgen, telefoongegevens en socialmediagebruik te controleren, berichten van allerlei chat-apps te lezen, screenshots en foto's te maken, gesprekken op te nemen en de surfgeschiedenis te bekijken.

Ook is het mogelijk om een keyloggerfunctie in te schakelen, alsmede alle bestanden op de telefoon te benaderen, zoals foto's en video's die het slachtoffer heeft gemaakt. Om de app op het toestel van een slachtoffer te installeren heeft een KidsGuard-gebruiker wel eerst fysieke toegang nodig. Het is niet nodig om het toestel te jailbreaken of rooten. Eenmaal geïnstalleerd doet de spyware zich op Android voor als een "system update" app en laat geen icoon zien, zodat het slachtoffer niet weet dat de spyware is geïnstalleerd.

Beveiligingsonderzoeker Till Kottmann ontdekte dat de app gegevens in een cloudbucket van internetgigant Alibaba opsloeg. Waarschijnlijk was de bucket, waar bedrijven allerlei data in kunnen opslaan, per ongeluk op openbaar gezet. Daarnaast was die niet met een wachtwoord beveiligd. Iedereen op internet had zo toegang tot de bucket en de bestanden daarin kunnen krijgen. De bucket is inmiddels gesloten, zo meldt TechCrunch. KidsGuard zou volgens de Amerikaanse burgerrechtenbeweging EFF op zo'n 3.000 telefoons zijn geïnstalleerd.