Wyciek 1.2 TB danych (w tym logów i haseł w plaintext) z siedmiu VPNów, które mają „0-log policy” :-)

Dane siedziały sobie na zupełnie niezabezpieczonej instancji Elasticsearch. O jakie VPNy chodzi? Oto ich lista: UFO VPN, FAST VPN, Free VPN, Super VPN, Flash VPN, Secure VPN, Rabbit VPN. Wg badaczy core infrastruktury wszystkich tych rozwiązań jest takie samo – a różne nazwy to po prostu ładna, nowa naklejka na ten sam produkt.

Ile danych wyciekło? Mowa o przeszło miliardzie rekordów zawierających takie dane jak (pozwoliłem sobie je przywołać bez tłumaczenia):

• Activity logs,
• PII (names, emails, home address),
• cleartext passwords,
• Bitcoin payment information,
• support messages,
• personal device information,
• tech specs,
• account info,
• direct Paypal API links

Z listy powyżej chyba najbardziej szokują „hasła w formie jawnej”…

Właściciel systemów na szczęście zareagował na zgłoszenie problemu, wyciągając nowego „chłopca do bicia” – czyli COVID-19. Ich wytłumaczenie w oryginale brzmi tak:

Due to personnel changes caused by COVID-19, we‘ve not found bugs in server firewall rules immediately, which will lead to the potential risk of being hacked. And now it has been fixed.

–Michał Sajdak