人気のメッセージングアプリ JusTalkは、暗号化されていないプライベートメッセージの巨大なデータベースを、パスワードなしでインターネットに公開して数か月間残しました。
メッセージングアプリには約2,000万人の海外ユーザーがいますが、GooglePlayには JusTalk Kidsは、メッセージングアプリの子供向けバージョンとして請求されており、Androidのダウンロード数は100万回を超えています。
JusTalkによると、両方のメッセージングアプリはエンドツーエンドで暗号化されており、ウェブサイトでは「あなたとあなたが通信する相手だけがそれらを表示、読み取り、または聞くことができます。JusTalkチームでさえあなたのデータにアクセスできません！」
しかし、それは真実ではありません。 セキュリティ研究者によると、アプリのバグやエラーを追跡するために同社が使用したログデータベースは、パスワードなしでインターネット上に残されていました。 アヌラグセン、公開されたデータベースを見つけ、TechCrunchに失効を会社に報告する手助けを求めた。
データベースとその中の数百ギガバイトのデータ（中国のHuaweiがホストするクラウドサーバーでホストされている）は、IPアドレスを知っているだけでWebブラウザーからアクセスできます。 公開されたデバイスとデータベースの検索エンジンであるShodanは、データベースが最初に公開された少なくとも1月初旬以降、サーバーが最新の1か月分のログを継続的に保存していることを示しています。
会社が主張するようにアプリがエンドツーエンドで暗号化されていないことを報告した直後に、データベースがシャットダウンされました。
メッセージングアプリの背後にある中国を拠点とするクラウド企業であるJuphoonは、そのWebサイトで、2016年にJusTalkをスピンアウトし、現在はNingboJusによって所有および運営されていると述べています。 シェア Juphoonのウェブサイトに記載されているのと同じオフィス。
Juphoonの最高経営責任者でJusTalkの創設者であるLeoLvは、私たちの電子メールを開きましたが、応答しませんでした。または、会社がセキュリティの失効についてユーザーに通知する予定があるかどうかを言いました。
サーバーのデータはログやその他のコンピューターで読み取り可能なデータと絡み合っているため、セキュリティの失効によってプライベートメッセージが公開された人の正確な数はわかりません。
サーバーは、送信者、受信者、メッセージ自体の電話番号など、アプリを介して送信された数百万のメッセージを含む、毎日1,000万を超える個別のログを収集して保存していました。 データベースは、発信されたすべての通話もログに記録しました。これには、各レコードに発信者と受信者の電話番号が含まれていました。
データベースに記録された各メッセージには同じチャットのすべての電話番号が含まれていたため、JusTalkKidsアプリを使用して両親とチャットしていた子供たちからの会話も含めて会話全体を追跡することができました。 ある会話チェーンには、会議の時間、場所、価格など、サービスのために電話番号を公にリストしているセックスワーカーを勧誘するためにアプリを使用していた牧師を特定するのに十分な個人情報が含まれていました。
JusTalkの主張にもかかわらず、メッセージは暗号化されていませんでした。
また、データベースには、ユーザーの電話から収集された数千人のユーザーの詳細な位置データも含まれており、米国、英国、インド、サウジアラビア、タイ、中国本土に大規模なユーザーが集まっていることも以前に報告しました。 データベースには、3番目のアプリからのレコードも含まれていました。 JusTalk2nd Phone Number、これにより、ユーザーは、個人の携帯電話番号を提供する代わりに、使用する仮想の一時的な電話番号を生成できます。 これらの記録のいくつかのレビューは、データベースがその人の携帯電話番号と彼らが生成したすべての一時的な電話番号の両方を記録していたことを示しています。
しかしTechCrunchは、公開されたデータベースを見つけるのにセンだけではないという証拠を見つけた。
データベースに残された日付のない身代金メモは、データを盗むためにインターネットをスキャンして公開されたデータベースを探し、数百の身代金がない限りデータを公開すると脅迫する悪意のあるデータ強要者が少なくとも1回アクセスしたことを示唆していますドル相当の暗号通貨が支払われます。
強奪者のアクセスの結果としてJusTalkデータが失われたか盗まれたかは不明ですが、身代金メモに関連付けられたブロックチェーンアドレスは、まだ資金を受け取っていないことを示しています。