Tysiące haseł i Apple ID ujawnione przez „bezpieczną” aplikację dla rodziców

Aplikacje pozwalające rodzicom sprawdzać położenie smartfonów ich dzieci same w sobie są uważane za naruszenie prywatności, ale nie to jest najgorsze. Przynajmniej jedna usługa tego typu, TeenSafe, nie zabezpieczyła informacji z kont rodziców i dzieci. W konsekwencji atakujący mogli wydobyć loginy i hasła Apple ID najmłodszych użytkowników.

TeenSafe jest dostępna dla Androida i iOS-a. Usługa jest reklamowana jako bezpieczny monitoring rodzicielski. Rodzice mogą dzięki niej sprawdzać położenie dzieci, historię połączeń, wiadomości tekstowe, historię przeglądania, kontakty, rozmowy na WhatsAppie oraz listę zainstalowanych na smartfonie aplikacji. Co gorsza, aplikacja nie wymaga zgody dzieci, by rodzice mieli dostęp do tych informacji, co jest sporym naruszeniem prywatności młodych użytkowników smartfonów. Ma ona oczywiście kilka zalet, w tym może pomóc zapobiegać cyberdręczeniu i niebezpiecznym sytuacjom, ale jest to aplikacja bardzo inwazyjna, zwłaszcza jeśli rodzice nie wyjawią, że z niej korzystają.

To nie jedyny problem z aplikacją TeenSafe i prawdopodobnie także innymi produktami tego typu. Robert Wiggins, badający bezpieczeństwo danych w Sieci, odkrył dwa kiepsko zabezpieczone serwery usługi. Oba działały w chmurze Amazonu i zostały już wyłączone, ale trudno powiedzieć, jak długo można było wydobyć z nich bazę danych rodziców i dzieci.

W bazie znajdowały się e-maile rodziców, e-maile Apple ID dzieci, nazwy urządzeń z iOS-em dzieci (często jest to imię użytkownika) i unikalny identyfikator urządzenia. Wisienką na torcie są zapisane czystym tekstem hasła do kont Apple ID dzieci. To skandaliczne naruszenie podstawowych zasad bezpieczeństwa.

Przed wyłączeniem serwerów było na nich przynajmniej 10 tysięcy rekordów z danymi klientów, ale niektóre się powtarzały. Zdnet potwierdził, że wydobyte dane logowania są autentyczne i można z ich pomocą dostać się do kont użytkowników. Niektóre adresy e-mail były powiązane ze szkołami, co stwarza fizyczne zagrożenie dla dzieci.

Jakby tego było mało, aplikacja TeenSafe wymagała, by na urządzeniach wyłączona była dwustopniowa autoryzacja. Aplikacja nazywana „bezpieczną” pod żadnym pozorem nie powinna stawiać takich chorych wymagań. Mamy tu idealny przykład konsekwencji tej lekkomyślności – atakujący ma podane na tacy dane logowania do kont iCloud dzieci. W bazie nie było danych o położeniu ani żadnych plików, ale po wejściu na konto iCloud wszystkie dane można uzyskać samemu. Rodzice płacili za to 15 dolarów miesięcznie i pewnie byli przekonani, że świetnie chronią swoje pociechy.