7 servicios de VPN filtraron datos de más de 20 millones de usuarios, según un informe


Un informe cuestiona las prácticas de seguridad de los proveedores y rechaza sus afirmaciones de ser servicios VPN sin registro

Siete Pink privada virtual (VPN) Los proveedores que afirman no mantener ningún registro de las actividades en línea de sus usuarios dejaron recientemente 1,2 terabytes de datos de usuarios privados expuestos a cualquiera que venga a buscar. Los datos, que se encuentran en un servidor compartido por los servicios, incluyen la información de identificación own (PII) de potencialmente hasta 20 millones de usuarios de VPN, dijeron investigadores en vpnMentor, quien descubrió la fuga.

Además de los datos personales, que incluían las direcciones de correo electrónico y domiciliarias de los usuarios, las contraseñas de texto sin cifrar y las direcciones IP, también se descubrió que el servidor almacenaba varias instancias de registros de actividad de Web, lo que arroja dudas sobre las afirmaciones de los proveedores sobre registros estrictos. políticas

UFO VPN, VPN RÁPIDA, VPN Free of charge, Tremendous VPN, VPN flash, VPN seguray Rabbit VPN Todos están implicados en el incidente. El informe sugiere que todos estos servicios basados ​​en Hong Kong tienen un desarrollador y una aplicación compartidos y se supone que son soluciones de marca blanca que se reutilizan bajo diferentes marcas para otras compañías. Esta suposición se basa en los servicios que comparten el mismo servidor Elasticsearch, que se alojan en los mismos activos, y en el hecho de que los servicios comparten un único destinatario para los pagos.

Los investigadores realizaron una serie de pruebas utilizando uno de los servicios de VPN, UFO VPN. Después de descargar y usar la aplicación móvil para conectarse a servidores de todo el mundo, sus actividades se registraron en la foundation de datos, que comprende sus datos personales que incluyen una dirección de correo electrónico, IP, dirección, dispositivo y el servidor al que se conectaron. Más allá de confirmar sus sospechas, también descubrieron que la foundation de datos registró su nombre de usuario y contraseña para crear la cuenta.

La base de datos incluso contenía datos técnicos sobre los dispositivos en los que se instalaron las VPN, como las direcciones IP de origen, el proveedor de servicios de World-wide-web, la ubicación real, el modelo, el tipo y la identificación del dispositivo, así como la conexión de red del usuario. “Los usuarios del servidor VPN conectados también estuvieron expuestos, incluida su región y dirección IP. Esto hace que el servicio VPN afectado sea prácticamente inútil, ya que la dirección IP de origen del usuario se puede conectar a su actividad en el servidor de destino «, explicó vpnMentor.

En pocas palabras, todos los detalles que fueron registrados y expuestos por estos autoproclamados servicios VPN «sin registro» podrían significar problemas en diferentes órdenes de magnitud para sus usuarios. Las VPN se usan por varias razones principales, que incluyen agregue una capa adicional de seguridad y privacidad, acceda a contenido que puede no ser estrictamente lawful en países específicos (algunos que prohíben la pornografía), omita las restricciones geográficas o los activistas políticos.

Dependiendo de quién sea el objetivo de un actor malicioso, los usuarios de VPN podrían terminar recibiendo dirigido por campañas de phishing, convertirse en víctimas de fraude, o enfrentar chantaje, arrestos y persecución.

Siguiendo las pautas de divulgación responsable, los investigadores revelaron el lapso de seguridad a los proveedores de VPN el 5 de julioth y contacté al Equipo de Respuesta a Emergencias Informáticas de Hong Kong el 8 de julioth. El servidor se cerró el 15 de julio.th.

Se recomienda a los usuarios de uno de los siete proveedores de VPN que consideren cambiar a otro servicio y cambiar su información de inicio de sesión en cualquier otra cuenta en línea. Este informe no debe desalentarlo de ninguna manera para usar una VPN, sino que puede ser un recordatorio para elige cuidadosamente tu proveedor de VPN.





Enlace a la noticia first