Kid Security aplikacija za roditeljski nadzor na internetu otkriva osetljive podatke o deci

Cybernews platforma koja se bavi informacijama o sajber bezbednosti 7. februara izvestila je da je otkriveno da su programeri aplikacije Kid Security za roditeljski nadzor dece preko telefona, propustili da pravilno konfigurišu autentifikaciju za svoj Kafka Broker klaster. To je rezultiralo velikim curenjem osetljivih podataka sa uređaja maloletnika na internet, koji, između ostalog, podrazumevaju GPS lokacije i privatne poruke kojima su, praktično svi, odnosno neovlašćene osobe, imale pristup više od godinu dana.

Aplikacija Kid Security je veoma popularna aplikacija sa preko milion preuzimanja sa Google Play prodavnice, dizajnirana da pomogne roditeljima u održavanju sigurnosti svoje dece. Ona zajedno radi u tandemu sa aplikacijom Tigrow koja ima pola miliona preuzimanja. Obe aplikacije razvija ista kompanija sa sedištem u Kazahstanu.

Međutim, nedostatak osnovnih mera sajber bezbednosti doveo je do ozbiljnih posledica, piše Cybernews. Ovo nije prvi put da je aplikacija propustila da obezbedi svoje sisteme, budući da je prošle godine takođe bilo otkrića curenja podataka sa preko 300 miliona zapisa korisničkih podataka.

Screenshot

Screenshot

Ovog puta, osetljivi podaci koji su se našli van aplikacie stvorili su ozbiljne rizike po privatnost i sigurnost dece. Podaci koji su procirili uključuju anonimne informacije o lokacijama, ali i identifikatore kao što su IMEI (International Mobile Equipment Identity) brojevi uređaja, što može da omogući identifikaciju maloletnika. Takođe su procurile i poruke grupnih četova, koji su naslovljeni specifičnim imenima škola i oznakama razreda, dodatno sužavajući identifikaciju maloletnika.

Procurile informacije sa Kid Security aplikacije uključuju čitavu listu osetljivh podataka

Među informacijama koje su završile na internetu je ne tako mala lista osetljivih podataka, a oni uključuju:

• Poruke maloletnika na društvenim mrežama, uključujući Instagram, WhatsApp, Telegram, Viber i Vkontakte
• I-mejl adrese roditelja
• IP adrese
• Informacije o App Store-u: zemlja, zemlja profila, valute koje se koriste za transakcije, datumi početka i isteka pretplate
• Liste aplikacija instaliranih na telefonima i njihova statistika korišćenja
• Nagrade koje se dodeljuju deci za obavljanje zadataka kao što su obavljanje kućnih poslova ili učešće u sportu
• Audio snimci okruženja maloletnika
• IMEI brojevi
• Lokacije uređaja
• Nivoi baterije uređaja
• Drugi periodični metapodaci

Posebno zabrinjavajuća funkcija aplikacije je „Sound Around”, koja omogućava roditeljima da slušaju zvukove oko deteta. Nedostatak autentifikacije na ovoj funkciji omogućio je svima da pristupaju ovim snimcima, čime je ozbiljno ugrožena privatnost dece.

Shutterstock

Zlonamerni akteri mogu da iskoriste ove procurile podatke za manipulaciju i potencijalne opasnosti kao što su otmice. Takođe, važno je napomenuti da je curenje podataka pogodilo i decu koja nisu imala instaliranu aplikaciju, jer su poruke poslate deci koja imaju Kid Security na svojim telefonima i tako su i ona bila izložena zlonamernim akterima.

Curenje podataka rezultat je neadekvatne konfiguracije Kafka Broker klastera, platforme za prenos podataka u realnom vremenu. Nedostatak nadzora nad ovim sistemom omogućio je neovlašćen pristup velikim količinama podataka. Primera radi, samo prošle godine procurilo je preko 300  miliona raznih zapisa sa privatnim podacima, koji uključuju 21 hiljadu telefonskih brojeva i 31 hiljadu adresa elektronske pošte. Prema podacima nezavisnih istraživača, oni koji su pogođeni curenjem podataka su stanovnici iz različitih regiona širom sveta, pretežno iz Ruske Federacije, istočne Evrope i Bliskog istoka.

Kada je Cybernews pronašao otvoreni Kafka klaster koji pripada aplikaciji Kid Security, on je već imao 100 GB informacija u svojoj keš memoriji. Tokom jednog sata posmatranja, istraživački novinari sa platforme Cybenews su primili 456 hiljada poruka poslatih putem aplikacija društvenih mreža na telefonima maloletnika i statistiku korišćenja aplikacija sa 11 hiljada telefona.

Veza sa klasterom nije prekinuta tokom jednog sata posmatranja, a pristup njemu obezbeđen je tek nakon što je Cybernews kontaktirao kompaniju. Ovo sugeriše da programeri nisu adekvatno nadgledali uključene Kafka klastere.

Nastala situacija naglašava hitnu potrebu za poboljšanjem sajber bezbednosti u aplikacijama za roditeljski nadzor. Roditelji traba da budu svesni potencijalnih rizika ovakvih aplikacija i preduzmu dodatne mere pri odabiru i korišćenju sličnih alata za sigurnost dece, koja se, kako vidimo na ovom primeru, prenosi sa interneta i na pravi život.