Бесплатный VPN это удобно. Вы скачиваете приложение, получаете доступ к заблокированным сайтам и чувствуете себя в безопасности. Но иногда за эту бесплатность приходится платить. И плата эта ваши личные данные. В открытом доступе оказалась информация о 20 миллионах пользователей семи популярных VPN-сервисов. Среди пострадавших десятки тысяч россиян. А тем временем выяснилось, что ФБР уже много лет использует данные туристических систем для слежки за людьми по всему миру. Две истории, которые заставляют задуматься: кому на самом деле можно доверять свои данные.
Часть 1. 20 миллионов пользователей в открытом доступе
Исследовательская компания vpnMentor обнаружила в интернете незащищённый сервер, на котором в открытом виде хранились логи пользователей. Утечка затронула семь VPN-приложений: UFO VPN, Fast VPN, Free VPN, Super VPN, Flash VPN, Secure VPN и Rabbit VPN. У многих из них более миллиона скачиваний в Google Play и AppStore, а пользовательский рейтинг превышает 4,5 балла. То есть это не какие-то случайные приложения, а сервисы, которым люди доверяли.
Общий объём утекших данных превысил 1 терабайт. Исследователи нашли электронные адреса, незашифрованные пароли, IP-адреса, домашние адреса, модели смартфонов и уникальные идентификаторы устройств. Вся эта информация лежала в незащищённом виде, без какой-либо шифровки.
Куда хуже то, что утечка продолжалась не один день и не один месяц. По данным vpnMentor, данные были доступны в открытом доступе как минимум 18 месяцев. Всё это время любой желающий мог зайти на сервер и скачать информацию о миллионах пользователей.
Кто стоит за этими сервисами
У исследователей есть все основания полагать, что у большинства этих VPN-сервисов, если не у всех, один и тот же разработчик. На это указывают несколько факторов.
Во-первых, все семь приложений использовали один общий сервер ElasticSearch для хранения логов. Во-вторых, у трёх из них оказался одинаковый брендинг и дизайн на сайтах. В-третьих, у всех сервисов один и тот же получатель платежей, компания Dreamfii HK Limited. Аббревиатура HK в названии, скорее всего, означает Гонконг.
Это значит, что под разными названиями и брендами скрывался один и тот же разработчик, который собирал данные пользователей и хранил их в незащищённом виде.
Кого это коснулось в России
Эти VPN-сервисы были популярны и в России. Их использовали для доступа к заблокированным сайтам и сервисам. По оценке «Коммерсанта», в утекшей базе могут содержаться персональные данные десятков тысяч граждан России.
Ирония в том, что люди скачивали эти приложения именно для того, чтобы защитить свою приватность и обойти блокировки. А в итоге их личные данные оказались в открытом доступе. Электронные адреса, пароли, IP-адреса, домашние адреса всё это могло попасть в руки мошенников, спамеров и кого угодно.
Часть 2. Как ФБР использует данные путешественников
Пока одни компании беззаботно хранят пользовательские данные в открытом доступе, другие сотрудничают с правительственными структурами. Речь идёт о техасской компании Sabre. Она была основана ещё в середине прошлого века и построила бизнес на автоматизации покупки авиабилетов. Сегодня Sabre управляет крупнейшей базой данных бронирования перелётов, гостиниц и проката автомобилей. Через её серверы проходит порядка трети всех сделок, связанных с путешествиями.
По данным Forbes, ФБР уже давно использует Sabre для слежки. Первый известный случай произошёл ещё в 2001 году, когда Sabre помогла американским властям отследить перемещения террористов после атаки на Всемирный торговый центр.
Но это не было разовым действием. В 2019 году стало известно, что ФБР издало судебный приказ, требующий от Sabre предоставлять информацию о перемещениях конкретного подозреваемого в реальном времени. Компания должна была еженедельно сообщать о любых забронированных им рейсах и отелях в течение шести месяцев. При этом Sabre запретили разглашать факт этого сотрудничества.
Sabre не единственная компания, которая сотрудничает с властями. Вместе с испанской Amadeus и британской Travelport они контролируют практически все данные о глобальных авиаперевозках. И все они, по имеющимся данным, предоставляют эти данные правительственным структурам.
Что это значит для обычного пользователя
Первая история показывает, что бесплатные VPN-сервисы не всегда заботятся о вашей безопасности. Они могут хранить ваши данные в незащищённом виде и даже не подозревать об утечке в течение полутора лет. А вторая история демонстрирует, что даже если вы пользуетесь платными сервисами и следите за приватностью, ваши данные всё равно могут оказаться у спецслужб. Просто потому, что вы купили авиабилет или забронировали отель.
Если вы пользовались любым из перечисленных VPN-приложений, стоит немедленно сменить пароли от всех аккаунтов, которые могли быть связаны с этими сервисами. Особенно если вы использовали один и тот же пароль для разных сайтов. А в идеале вообще пересмотреть свои подходы к цифровой безопасности и не доверять бесплатным сервисам, которые обещают анонимность, но не могут её обеспечить.
Часть 1. 20 миллионов пользователей в открытом доступе
Исследовательская компания vpnMentor обнаружила в интернете незащищённый сервер, на котором в открытом виде хранились логи пользователей. Утечка затронула семь VPN-приложений: UFO VPN, Fast VPN, Free VPN, Super VPN, Flash VPN, Secure VPN и Rabbit VPN. У многих из них более миллиона скачиваний в Google Play и AppStore, а пользовательский рейтинг превышает 4,5 балла. То есть это не какие-то случайные приложения, а сервисы, которым люди доверяли.
Общий объём утекших данных превысил 1 терабайт. Исследователи нашли электронные адреса, незашифрованные пароли, IP-адреса, домашние адреса, модели смартфонов и уникальные идентификаторы устройств. Вся эта информация лежала в незащищённом виде, без какой-либо шифровки.
Куда хуже то, что утечка продолжалась не один день и не один месяц. По данным vpnMentor, данные были доступны в открытом доступе как минимум 18 месяцев. Всё это время любой желающий мог зайти на сервер и скачать информацию о миллионах пользователей.
Кто стоит за этими сервисами
У исследователей есть все основания полагать, что у большинства этих VPN-сервисов, если не у всех, один и тот же разработчик. На это указывают несколько факторов.
Во-первых, все семь приложений использовали один общий сервер ElasticSearch для хранения логов. Во-вторых, у трёх из них оказался одинаковый брендинг и дизайн на сайтах. В-третьих, у всех сервисов один и тот же получатель платежей, компания Dreamfii HK Limited. Аббревиатура HK в названии, скорее всего, означает Гонконг.
Это значит, что под разными названиями и брендами скрывался один и тот же разработчик, который собирал данные пользователей и хранил их в незащищённом виде.
Кого это коснулось в России
Эти VPN-сервисы были популярны и в России. Их использовали для доступа к заблокированным сайтам и сервисам. По оценке «Коммерсанта», в утекшей базе могут содержаться персональные данные десятков тысяч граждан России.
Ирония в том, что люди скачивали эти приложения именно для того, чтобы защитить свою приватность и обойти блокировки. А в итоге их личные данные оказались в открытом доступе. Электронные адреса, пароли, IP-адреса, домашние адреса всё это могло попасть в руки мошенников, спамеров и кого угодно.
Часть 2. Как ФБР использует данные путешественников
Пока одни компании беззаботно хранят пользовательские данные в открытом доступе, другие сотрудничают с правительственными структурами. Речь идёт о техасской компании Sabre. Она была основана ещё в середине прошлого века и построила бизнес на автоматизации покупки авиабилетов. Сегодня Sabre управляет крупнейшей базой данных бронирования перелётов, гостиниц и проката автомобилей. Через её серверы проходит порядка трети всех сделок, связанных с путешествиями.
По данным Forbes, ФБР уже давно использует Sabre для слежки. Первый известный случай произошёл ещё в 2001 году, когда Sabre помогла американским властям отследить перемещения террористов после атаки на Всемирный торговый центр.
Но это не было разовым действием. В 2019 году стало известно, что ФБР издало судебный приказ, требующий от Sabre предоставлять информацию о перемещениях конкретного подозреваемого в реальном времени. Компания должна была еженедельно сообщать о любых забронированных им рейсах и отелях в течение шести месяцев. При этом Sabre запретили разглашать факт этого сотрудничества.
Sabre не единственная компания, которая сотрудничает с властями. Вместе с испанской Amadeus и британской Travelport они контролируют практически все данные о глобальных авиаперевозках. И все они, по имеющимся данным, предоставляют эти данные правительственным структурам.
Что это значит для обычного пользователя
Первая история показывает, что бесплатные VPN-сервисы не всегда заботятся о вашей безопасности. Они могут хранить ваши данные в незащищённом виде и даже не подозревать об утечке в течение полутора лет. А вторая история демонстрирует, что даже если вы пользуетесь платными сервисами и следите за приватностью, ваши данные всё равно могут оказаться у спецслужб. Просто потому, что вы купили авиабилет или забронировали отель.
Если вы пользовались любым из перечисленных VPN-приложений, стоит немедленно сменить пароли от всех аккаунтов, которые могли быть связаны с этими сервисами. Особенно если вы использовали один и тот же пароль для разных сайтов. А в идеале вообще пересмотреть свои подходы к цифровой безопасности и не доверять бесплатным сервисам, которые обещают анонимность, но не могут её обеспечить.