Приложение для борьбы с порнозависимостью допустило утечку данных более чем 600 тысяч пользователей, в том числе несовершеннолетних. Об этом сообщает издание 404 media со ссылкой на независимого исследователя в области кибербезопасности.
Среди скомпрометированных данных — возраст пользователей, частота мастурбации, эмоциональные реакции на просмотр порнографии, а также так называемые триггеры и «оценка зависимости». По данным исследователя, около 100 тысяч пострадавших указали свой возраст как несовершеннолетних. В базе также хранятся личные «исповеди» пользователей об их привычках. Название приложения не раскрывается, поскольку уязвимость до сих пор не устранена.
Причиной утечки стала некорректная настройка платформы Google Firebase, которую разработчик использовал для хранения данных. Эта уязвимость позволяет любому желающему получить статус авторизованного пользователя и доступ к бэкенду приложения. Исследователь сообщил о проблеме создателю приложения еще в сентябре, тот пообещал оперативно ее исправить, однако этого не сделал. В разговоре с журналистом разработчик отрицал факт утечки и заявил, что данные могли быть сфальсифицированы. Чтобы проверить это, журналист создал аккаунт в приложении — исследователь тут же увидел его в незащищенной базе Firebase.
Глава компании Trail of Bits Дэн Гвидо отметил посте в Twitter (X), что подобная уязвимость Firebase хорошо известна и легко обнаруживается. По его словам, Google мог бы внедрить защитные механизмы на уровне платформы — например, предупреждать разработчиков об открытых правилах доступа или блокировать небезопасные конфигурации. Гвидо привел в пример Amazon, который успешно решил аналогичную проблему со своим облачным хранилищем S3.
Исследователь, обнаруживший уязвимость, также указал на ответственность Apple, которая допускает подобные приложения в App Store без проверки безопасности серверной части.
Ранее компания по кибербезопасности Malwarebytes сообщила об утечке конфиденциальной информации 17,5 млн пользователей Instagram. Данные продаются в даркнете и могут использоваться киберпреступниками.
