Данные 20 млн пользователей бесплатных VPN-сервисов оказались в открытом доступе

ЕРЕВАН, 20 июля. /АРКА/. Исследовательская команда vpnMentor обнаружила в открытом доступе данные более 20 млн пользователей бесплатных VPN-решений, пишет "Коммерсантъ". 

На незащищенном сервере находятся данные приложений UFO VPN, Fast VPN, Free VPN, Super VPN, Flash VPN, Secure VPN и Rabbit VPN, в том числе электронные адреса, незашифрованные пароли, IP- и домашние адреса, данные о моделях смартфонов и идентификаторы устройств пользователей. Общий объем данных — 1,2 ТБ. У многих приложений более 1 млн скачиваний в Google Play и AppStore, а пользовательский рейтинг — выше 4,5, отмечает vpnMentor.

Несмотря на крупный масштаб утечки данных, она не должна создать для пользователей платформ серьезных проблем, считает основатель DeviceLock Ашот Оганесян.

«Но платежные ссылки на аккаунт PayPal могут использоваться для фишинга, а e-mail и пароли — для взлома других ресурсов, где пользователи зарегистрировались с теми же данными. Кроме того, логи активности, попав в руки злоумышленников, могут применяться для шантажа клиентов VPN-сервисов, так как их анализ позволит установить посещение им сайтов запрещенной тематики»,— считает господин Оганесян.

Господин Шаленков добавляет, что злоумышленники могут использовать данные для спама и фишинговых рассылок, а также обогащения платформ, занимающихся сбором информации о людях. 

«Нередко пользователи применяют одни и те же логины и пароли для разных ресурсов, что открывает для злоумышленников широкие возможности для их взлома и дальнейшего извлечения выгоды»,— добавляет замдиректора центра реагирования на киберугрозы Solar JSOC компании «Ростелеком» Антон Юдаков.

Между тем, все эксперты, опрошенные “Ъ”, видят в случившемся иронию: сервисы, которые должны обеспечить анонимность в интернете, не защищены от кибератак, а данные тех, кто пытался сменить IP-адрес, обойдя законодательные ограничения, оказались в свободном доступе.

«Утечка выявляет опасную проблему, которая касается почти любых подобных приложений: разработчики обещают, но не гарантируют безопасность. Они заявляют, что не собирают логи, но исследователи обнаруживают эти данные на серверах приложений. Проверить чистоплотность разработчиков можно, только посмотрев исходный код сервиса,— он почти в 100% случаев недоступен»,— объясняет начальник отдела информационной безопасности «СерчИнформ» Алексей Дрозд, добавляя, что даже платные сервисы уличались в том, что сохраняли и даже продавали пользовательские данные. 

Эта ситуация, полагает эксперт по информационной безопасности компании Palo Alto Networks Денис Батранков, станет «лакмусовой бумажкой индустрии VPN — теперь никто не будет уверен, что их не отслеживают».--0--