Vpn-provider die claimt geen logs bij te houden lekt miljoenen logbestanden

[Captain Kirk]

Een vpn-provider uit Hong Kong die claimt geen logs bij te houden heeft via een onbeveiligde Elasticsearch-server miljoenen logbestanden met informatie over gebruikers gelekt. Het gaat om vpn-aanbieder UFO VPN die beweert meer dan 20 miljoen gebruikers te hebben. Ook stelt het bedrijf een "0 log policy" te hanteren.

Onderzoeker Bob Diachenko ontdekte op 1 juli de onbeveiligde server, die 894 gigabyte aan data bevatte. Het ging onder andere om plaintext wachtwoorden van vpn-gebruikers, vpn session secrets en tokens, ip-adressen van zowel gebruikers als de vpn-servers waarmee ze verbinding hadden, connectie timestamps, geo-tags en kenmerken van de systemen van gebruikers.

UFO VNP stelt in een verklaring dat de data "anoniem" is, maar volgens Diachenko is het mogelijk om met de gegevens gebruikers te identificeren en hun activiteiten online te volgen. De server was op 27 juni door zoekmachine Shodan.io geïndexeerd en op 1 juli door Diachenko gevonden. De onderzoeker waarschuwde meteen de vpn-provider. Aangezien de server toegankelijk bleef waarschuwde Diachenko twee weken later de hostingprovider waar de server was ondergebracht. De volgende dag was de server beveiligd.

In een reactie aan de onderzoeker, die twee weken later volgde, stelt UFO VPN dat vanwege personeelswijzigingen door corona, de fouten in de firewallregels waardoor het datalek mogelijk was niet direct waren gevonden. "Alle verzamelde informatie op deze server is anoniem en wordt alleen gebruikt voor het analyseren van de netwerkprestaties en problemen van gebruikers om de dienstverlening te verbeteren. Tot nu toe is er geen enkele informatie gelekt", aldus UFO VPN.

 

bron: security.nl