2020-8-01

SEGURANÇA

Serviços de VPN com fuga de dados de mais de 20 milhões de utilizadores

Sete serviços de VPN que asseguram que, por uma questão de segurança, não mantêm registos das atividades dos seus utilizadores, viram os dados dos seus clientes serem divulgados

Um relatório citado pela Eset revela que sete serviços de VPN – que se propõem a salvaguardar a privacidade dos seus utilizadores enquanto navegam pela Internet – foram alvo de uma fuga de dados que põe em causa as credenciais de mais de 20 milhões de utilizadores. Os serviços afetados são: UFO VPN, FAST VPN, FREE VPN, SUPER VPN, Flash VPN, Secure VPN e Rabbit VPN.

O problema é tanto mais grave quanto estes serviços garantem que, precisamente por uma questão de segurança e privacidade, não mantêm registos (“logs”) das atividades dos seus utilizadores. No entanto, deixaram recentemente visíveis para quem quer que quisesse ver, cerca de 1,2 terabytes de dados privados dos seus clientes.

Os dados, encontrados num servidor partilhado por estes fornecedores de serviços, incluía a informação pessoal identificável (“Personally Identifiable Information”, ou PII) de, potencialmente, mais de 20 milhões de utilizadores das VPN, de acordo com investigadores da vpnMentor, que descobriu a falha de segurança.

Além de detalhes pessoais, que incluíam os endereços de email bem como as moradas físicas dos utilizadores, os dados expostos continham passwords (não encriptadas), endereços IP das máquinas usadas e, em muitos casos, também registos de atividade (“Internet activity logs”), o que põe em causa as políticas destes provedores, que garantem não manter quaisquer registos de navegação dos seus clientes.

O relatório da vpnMentor sugere que todos estes serviços baseados em Hong Kong têm por detrás a mesma base de código, o mesmo desenvolvedor e a mesma aplicação – no fundo são soluções tipo “produto branco” que depois adotam diferentes marcas de acordo com a empresa que as comercializa.

Esta suposição é fundamentada na partilha de serviços no mesmo servidor, que hospeda os mesmos ativos e pelo facto de que todos os serviços VPN afetados partilham um único beneficiário para receção de pagamentos.

Os investigadores executaram uma série de testes utilizando um dos serviços, UFO VPN. Após o download e utilização da app móvel para ligação aos servidores à volta do mundo, as suas atividades foram efetivamente registadas numa base de dados, incluindo os seus dados pessoais, emails, endereços IP, dispositivo usado para acesso e servidor ao qual este estava ligado. Além disso, a base de dados também registou o nome de utilizador e respetiva password usada para criar a conta.

Pior, a base de dados continha até dados técnicos sobre os dispositivos no qual a VPN estava instalada, que permitiam facilmente identificar e localizar o seu utilizador. Ou seja, o serviço VPN não estava a oferecer qualquer proteção aos utilizadores e, pelo contrário, o que lhes dava era uma falsa sensação de segurança.

Recomendado pelos leitores

Garmin confirma que foi vítima de ciberataque
SEGURANÇA

Garmin confirma que foi vítima de ciberataque

LER MAIS

Erro humano está ligado a 60% das falhas de segurança
SEGURANÇA

Erro humano está ligado a 60% das falhas de segurança

LER MAIS

Ransomware: encriptação torna-se cada vez mais recorrente
SEGURANÇA

Ransomware: encriptação torna-se cada vez mais recorrente

LER MAIS

IT CHANNEL Nº 69 JULHO 2020

IT CHANNEL Nº 69 JULHO 2020

VER EDIÇÕES ANTERIORES

O nosso website usa cookies para garantir uma melhor experiência de utilização.