Nischen-Dating-Apps leaken 845 GB Nutzerdaten

[English]Es ist ein riesiges Datenleck, welches von Nischen-Dating-Apps verursacht wurde. Sicherheitsforscher haben herausgefunden, dass die Apps Benutzerdaten öffentlich im Internet bereitstellen – wir sprechen von 845 GB.

Die Info liegt mir bereits einige Tage vor. Sicherheitsforscher von vpnMentor sind unter der Leitung von Noam Rotem und Ran Locar auf dieses Datenleck gestoßen. Verantwortlich für die Erfassung der Daten sind eine Sammlung von Apps. Die Anwendungen wurden für Menschen mit alternativen Lebensstilen und besonderen Vorlieben entwickelt, wie z.B. 'Cougars', Queer-Dating, Fetische und Gruppensex. Mindestens eine App war Menschen mit Geschlechtskrankheiten wie Herpes gewidmet. Hier die Namen verschiedener Apps:

• 3somes
• CougarD
• Gay Daddy Bear
• Xpal
• BBW Dating
• Casualx
• SugarD
• Herpes Dating
• GHunt

Basierend auf den Recherchen der Sicherheitsforscher haben die Anwendungen einen gemeinsamen Entwickler. Infolgedessen wurden die Benutzerdaten von jeder Anwendung auf einem einzigen Amazon Web Services (AWS)-Konto gespeichert. Und diese Datensammlung im Umfang von 845 GB war ungeschützt per Internet erreichbar.

Betroffen sind Hunderttausende, wenn nicht Millionen Nutzer von mehr als acht Dating-Apps. Das Datenleck umfasst über 20 Millionen Dateien, die durch diese Apps erstellt wurden. Die Sicherheitsforscher haben in den Dateien zwar keine Namen und E-Mail-Adressen, aber Fotos von Gesichtern sowie sehr intime Informationen über die App-Nutzer gefunden. Die Forscher haben folgende Daten gefunden:

• Bilder und Fotos
• Sprachnachrichten und Audioaufzeichnungen

Unter den Bildern und Fotos von Benutzern enthielten die S3-Buckets auch Screenshots, die eine große Menge sensibler Informationen enthüllten. Dazu gehörten:

• Private Chats zwischen Benutzern
• Belege für finanzielle Transaktionen zwischen Benutzern
• Dankesbotschaften an Sugar Daddies

Die S3-Buckets enthielten zwar keine PII-Daten (Personally Identifiable Information). Diese lassen sich aber oft aus Mediendateien direkt und indirekt ermitteln. Damit liegen:

• Fotos mit sichtbaren Gesichtern
• Namen der Benutzer
• Persönliche Angaben
• Finanzielle Daten

offen. Die Sicherheitsforscher schätzen, dass es mindestens 100.000, wenn nicht Millionen Nutzer betroffen sind. Die Daten sind in den USA und anderen Ländern gespeichert. Entdeckt wurde der offene AWS S3-Bucket am 24. Mai 2020, der Entwickler 3somes wurde am 26. Mai 2020 kontaktiert und antwortete am 27. Mai. Gleichzeitig wurde das Datenleck am 27. Mai 2020 geschlossen. Weitere Details lassen sich in diesem Artikel nachlesen.