Šnipinėjimo programa, naudojama stebėti artimuosius buvo užpulta kibernetinių nusikaltėlių
Buvo įsilaužta į liūdnai pagarsėjusią telefonų stebėjimo programą „LetMeSpy“, todėl buvo neteisėtai gauta prieiga prie daugybės slaptų duomenų, įskaitant perimtas žinutes, skambučių įrašus ir tikslius buvimo vietos duomenis. Kaip atskleidė pati bendrovė, ši programa yra gerai žinoma stebėjimo priemonė, naudojama tūkstančiams „Android“ naudotojų visame pasaulyje šnipinėti[1].
Savo prisijungimo puslapyje „LetMeSpy“ pranešė, kad įvyko didelis saugumo pažeidimas, dėl kurio neįgaliotos trečiosios šalys gavo prieigą prie konfidencialių naudotojų duomenų. Kibernetinės atakos vykdytojams pavyko gauti prieigą prie naudotojų paskyrose esančių el. pašto adresų, telefono numerių ir surinktų žinučių turinio, teigiama bendrovės pranešime.
Programėlė priskiriama telefonų stebėjimo programėlių kategorijai, paprastai parduodamų tėvų kontrolei arba darbuotojų stebėjimui. Programinė įranga sukurta taip, kad liktų paslėpta telefono pagrindiniame ekrane, todėl ją sunku atpažinti ir pašalinti. Šias programas, dažnai vadinamas persekiojimo programine įranga arba sutuoktinių programine įranga, paprastai įdiegia asmenys, pavyzdžiui, romantiniai partneriai arba sutuoktiniai, kurie turi fizinę prieigą prie taikinio telefono, paprastai be asmens žinios ar sutikimo.
Įdiegus „LetMeSpy“ į savo serverius tyliai įkelia tikslinio telefono tekstinius pranešimus, skambučių žurnalus ir tikslius buvimo vietos duomenis, todėl programėlę įdiegęs asmuo gali sekti auką realiuoju laiku. Šios stebėjimo programos dėl savo invazinio pobūdžio dažnai pagarsėja tuo, kad jose pasitaiko programavimo klaidų ir esminių saugumo klaidų.
Apie įsilaužimą pirmasis paskelbė Lenkijos saugumo tyrimų tinklaraštis. Jiems pabandžius susisiekti su šnipinėjimo programos gamintoju, kad šis pateiktų pareiškimą, atsakymą netikėtai pateikė įsilaužėlis, kuris teigė gavęs visapusišką prieigą prie šnipinėjimo programos gamintojo domeno.
Aukų, kurių duomenys buvo pasiekti, gali būti tūkstančiai
Įsilaužėlio tapatybė ir jo motyvai lieka nežinomi. Kibernetinis nusikaltėlis prasitarė, kad ištrynė serveryje saugomas šnipinėjimo aplikacijos duomenų bazes. Vėliau, tą pačią dieną, internete buvo paskelbta ir įsilaužtos duomenų bazės kopija.
Peržiūrėjusi nutekintus duomenis, saugumo bendrovės atskleidė, kad juose buvo daug metų kaupiami aukų skambučių ir tekstinių žinučių žurnalai, apimantys net 2013 metus. Išnagrinėtoje duomenų bazėje buvo aktyvių įrašų iš mažiausiai 13 000 pažeistų įrenginių, nors kai kurie iš jų „LetMeSpy“ teikė mažai duomenų arba visai jų neteikė. Pasak aplikacijos atstovų, duomenys ištrinami po dviejų mėnesių paskyros neveikimo.
Anksčiau „LetMeSpy“ interneto svetainėje buvo teigiama, kad jų šnipinėjimo programinė įranga buvo naudojama daugiau kaip 236 000 įrenginių stebėjimui ir buvo sukaupta dešimtys milijonų skambučių žurnalų, tekstinių žinučių ir buvimo vietos duomenų taškų. Tačiau šiuo metu visi svetainėje esantys skaitikliai rodo nulį, o daugelis svetainės funkcijų, įskaitant pačią šnipinėjimo programą, atrodo išjungtos. Ekspertai nustatė, kad „LetMeSpy“ programėlė neveikia, išanalizavus jos tinklo srautą[2].
Įsilaužimo duomenų bazę taip pat sudarė daugiau kaip 13 400 buvimo vietos duomenų taškų, susijusių su keliais tūkstančiais aukų. Didelė dalis šių buvimo vietos duomenų taškų atitinka apgyvendintas vietoves, o tai leidžia manyti, kad dauguma aukų yra iš Jungtinių Valstijų, Indijos ir Vakarų Afrikos. Duomenys taip pat apėmė šnipinėjimo programos pagrindinę duomenų bazę, kurioje buvo informacija apie 26 000 vartotojų, kurie šnipinėjimo programą naudojo nemokamai, ir mokančių abonentų el. pašto adresai[3].
Šnipinėjimo aukų informavimas paliečia ir užsakovų privatumo klausimą
Už tokių šnipinėjimo programų kaip „LetMeSpy“ kūrėjų anonimiškumas yra įprastas reiškinys. Jie dažnai nusprendžia slėpti savo tikrąją tapatybę, kad išvengtų galimos žalos reputacijai ir teisinių pasekmių dėl to, kad padeda vykdyti plataus masto slaptą telefonų sekimą, kuris daugelyje jurisdikcijų laikomas neteisėtu.
Tačiau iš nutekėjusios duomenų bazės duomenų matyti, kad bendrovę sukūrė ir valdo Krokuvoje (Lenkija) įsikūręs kūrėjas Rafal Lidwin. Nepaisant daugkartinių bandymų susisiekti su Lidwinu ir paprašyti jo komentarų, atsakymo negauta. Klausimas, ar „LetMeSpy“ informuos nukentėjusiuosius, į kurių telefonus buvo įsibrauta ir kurių telefonai buvo stebimi, lieka neaiškus, kaip ir bendrovės galimybės tai padaryti.
Anksčiau nukentėjusieji galėjo patys pasitikrinti, ar nebuvo pažeisti jų duomenys, tačiau nutekintuose programos duomenyse nėra jokios identifikuojančios informacijos, pagal kurią būtų galima tiesiogiai informuoti nukentėjusiuosius. Be to, informuoti aukas apie šnipinėjimo programas yra sudėtinga, nes tai gali išduoti šnipinėjimo programą įdiegusį asmenį ir taip sukelti nesaugią situaciją.
Tokios telefonų šnipinėjimo programos paprastai užmaskuojamos taip, kad atrodytų kaip svarbiausios sistemos programos. Palyginti su jomis, „LetMeSpy“ yra lengviau atpažįstama ir lengviau pašalinama. Programa vadinasi „LMS“ ir ją galima atpažinti pagal išskirtinę piktogramą. Yra išsamių vadovų, padedančių pašalinti tokias „Android“ šnipinėjimo programas, jei aplinkybės rodo, kad tai saugu.
Šnipinėjimas ir duomenų nutekėjimai pasitaiko vis dažniau
Bėgant metams į daugybę tokių šnipinėjimo programų buvo įsilaužta, todėl buvo nutekinti ir atskleisti iš nieko neįtariančių aukų pavogti asmeniniai telefono duomenys, o „LetMeSpy“ nėra šios tendencijos išimtis. Šnipinėjimo ir telefono stebėjimo programos pastaraisiais metais išpopuliarėjo dėl jų panaudojimo galimybių tokiose srityse kaip tėvų kontrolė ir darbuotojų stebėjimas.
Tačiau su šiomis programėlėmis susijusi rizika taip pat išaugo, nes paaiškėjo daugybė duomenų apsaugos pažeidimų ir įsilaužimų atvejų. Pastebėtina, kad „LetMeSpy“ yra naujausia kompromituotų programų sąrašo dalis, papildžiusi kitų stebėjimo aplikacijų, kurių kaupta informacija nutekėjo, gretas.
„Xnspy“
Kitas didelis incidentas buvo susijęs su „Xnspy“, telefono stebėjimo programa, plačiai naudojama telefono skambučiams, el. laiškams ir žinutėms sekti ir įrašinėti. Nepaisant to, kad telefono aplikacija buvo patraukli tėvams ir darbdaviams, ji patyrė didelį saugumo incidentą, kai dėl sprągos nutekėjo daug duomenų. Buvo atskleista asmeninė ir slapta informacija, įskaitant pokalbių žurnalus, el. laiškus ir tikslius nieko neįtariančių naudotojų buvimo vietos duomenis, todėl kilo rimtų privatumo ir saugumo problemų[4].
„KidsGuard“
Su panašiomis problemomis susidūrė ir dar viena tėvams skirta stebėjimo priemonė, skirta vaikų skaitmeninei veiklai stebėti. Nustatyta, kad per plačiai nuskambėjusį saugumo incidentą buvo nutekinti debesijos serveriuose saugomi „KidsGuard“ duomenys, įskaitant nuotraukas, garso įrašus ir informaciją apie buvimo vietą. Taip ne tik buvo atskleisti stebimų vaikų duomenys, bet ir kilo pavojus, kad bus atskleista visų asmenų, kurie turėjo sąlytį su tiksliniais įrenginiais, informacija.
„TheTruthSpy“
Panašus likimas ištiko ir „TheTruthSpy“, kitą telefonų stebėjimo programėlę, skirtą vaikams ir darbuotojams, artimiesiems stebėti. Ironiška, kad programa tapo savo pačios žaidimo auka, kai įsilaužėlis gavo prieigą prie jos duomenų bazių. Buvo atskleisti tūkstančių naudotojų asmeniniai duomenys, įskaitant vartotojo vardus, slaptažodžius ir kontaktinę informaciją, o tai buvo didelis smūgis bendrovės reputacijai ir išryškino tokių programų keliamą pavojų privatumui.
Šie incidentai rodo, jog labai svarbu, kad naudojant telefonų stebėjimo ir šnipinėjimo programas būtų taikomos patikimos saugumo priemonės ir praktika. Tai nėra etiška duagaliu klausimų tiek iš bendrovių, kurios platina ir gamina programas, tiek iš paslaugas užsakančių asmenų. Nepaisant jų galimo naudingumo tam tikromis aplinkybėmis, pavyzdžiui, tėvų kontrolei ir darbuotojų stebėjimui, šiose programose saugoma labai daug slaptų duomenų, kurie gali tapti kibernetinių nusikaltėlių taikiniu.
