Virtueel toetsenbord lekt data van 31 miljoen gebruikers via MongoDB-database
Een grote hoeveelheid data van gebruikers van Ai.Type, een Israëlische start-up die een gepersonaliseerd virtueel toetsenbord aanbiedt voor smartphones en tablets, is uitgelekt. In totaal zijn ruim 31 miljoen gebruikers getroffen.
Het datalek is ontdekt door Kromtech Security Center, die op een verkeerd geconfigureerde MongoDB database van Ai.Type stuitte. Deze database was niet afgeschermd en onversleuteld, waardoor alle data vrij toegankelijk was via internet.
Data in ruil voor gratis toegang
In een blogpost wijst Bob Diachenko, Chief Communication Officer bij Kromtech Security Center, erop dat gebruikers steeds meer data opgeven in ruil voor gratis toegang tot online diensten en applicaties. Gebruikers hebben echter geen idee op welke wijze bedrijven data over hen verzamelen en gebruiken. Ook Ai.Type verzamelt veel data; gebruikers die de app willen gebruiken moeten de app volledige toegang geven tot alle data die op hun apparaat is opgeslagen.
Diachenko meldt dat een analyse van de uitgelekte database uitwijst dat Ai.Type alle mogelijke soorten data verzamelt van gebruikers, variërend van contactgegevens tot toetsaanslagen. De Chief Communication Office noemt het schokkend dat een toetsenbordapplicatie dusdanige hoeveelheden data over gebruiker verzamelt.
Ruim 31 miljoen gebruikers getroffen
De verkeerd geconfigureerde MongoDB database die is aangetroffen bevat in totaal 577GB aan data over gebruikers. Deze data heeft betrekking op 31.293.959 gebruikers van Ai.Type. In totaal bevat ruim 373 miljoen gegevens. Kromtech meldt dat het gaat om zeer gevoelige en identificeerbare informatie, waaronder telefoonnummers, de volledige naam van apparaten
het model smartphone of tablet, de naam van het mobiele netwerk, schermresolutie, taalinstellingen, versie van het besturingssysteem, IMEI-nummer, e-mailaccounts die gekoppeld zijn aan het apparaat, informatie die op social media profielen is ingevuld, IP-adressen en locatiegegevens (GPS). Daarnaast zijn in de database ook 6.435.813 contactgegevens van gebruikers aangetroffen. Het gaat hierbij om zowel het telefoonnummer als de de naam van contactpersonen.
Meer over
Lees ook
Northwave lanceert CRA Quick Scan: 'Veel organisaties weten nog niet wat de Cyber Resilience Act van hen vraagt'
De Nederlandse cybersecurityspecialist Northwave Cyber Security introduceert een Cyber Resilience Act CRA Quick Scan, waarmee organisaties snel inzicht krijgen in hun huidige volwassenheid, de belangrijkste risico's en de stappen die nodig zijn om aan de wetgeving te voldoen.
Security die je uitvoert, niet archiveert
Bij vrijwel elke pentest viel me hetzelfde op: het interessantste zat niet in het binnenkomen, maar in wat daaraan voorafging. Het doolhof van frameworks en compliance-eisen bepaalde veel meer dan de techniek zelf.
Wie is Panik Button en wat doet Panik Button?
Panik Button is een Nederlands Cyber Resilience (Weerbaarheid) bedrijf dat organisaties helpt wanneer zij worden getroffen door een cyberaanval, zoals een hack, ransomware of een grote IT-storing. Op zo'n moment kunnen medewerkers/klanten vaak niet meer inloggen, geen e-mails versturen en geen bestanden openen.