Chinesische VPN-App Quickfox bei der Offenlegung von Daten von einer Million Benutzern erwischt

Ein Team von Sicherheitsforschern von vpn.inform.click (unter der Leitung von Ata Hakcil) deckte ein entscheidendes Leck in Quickfox auf, das die persönlichen Daten von mindestens einer Million Benutzern offenlegte, darunter ihre Namen, Handynummern, auf ihrem Gerät installierte Software und vieles mehr mehr.

Den Untersuchungen zufolge ist Quickfox ein in China ansässiger kostenloser VPN-Dienst von Fuzhou Zixun Network Technology Co., Ltd. Dieses VPN wird hauptsächlich von im Ausland lebenden Bürgern genutzt, die auf die geografisch eingeschränkten chinesischen Websites in ihren Ländern zugreifen möchten.

vpn.inform.click gab bekannt, dass die offengelegten Benutzerdaten nicht verschlüsselt waren und keine Anmeldedaten oder ein Passwort erforderlich waren, um diese Informationen anzuzeigen. Sie erklärten weiter, dass sie das Unternehmen um eine Stellungnahme gebeten hätten, aber keine Antwort erhalten hätten.

Bildnachweis: vpn.inform.click (Eine Authentifizierungsanfrage, bei der vertrauliche Informationen verloren gehen)

Wie kam es dazu und wer war daran beteiligt?

Die Forscher identifizierten das Leck im ElasticSearch  -Server von Quickfox. Da die Zielgruppe dieses VPN die Expatriates in China sind, bietet dieses VPN mehrere Server innerhalb des Landes, damit die Benutzer auf geografisch eingeschränkte chinesische Websites zugreifen können.

Das Leck war auf die unvollständige Stapelsicherheit von ELK (Elasticsearch, Logstash und Kibana) zurückzuführen. ELK sind drei Open-Source-Software, die dafür bekannt ist, die Suche durch riesige Dateien zu optimieren, beispielsweise die Protokolle eines VPN-Dienstes wie Quickfox.

Während der VPN-Dienst Zugriffsbeschränkungen von Kibana konfiguriert hatte, wurde dieselbe Sicherheitsmaßnahme nicht auf Elasticsearch eingerichtet. Aus diesem Grund könnte jede Person, die Zugang zu einer Internetverbindung und einem Browser hat, auf die Quickfox-Protokolle zugreifen und die persönlich identifizierbaren Informationen (PII) der Benutzer extrahieren.

Die im Leck entdeckten IP-Adressen zeigten, dass dies hauptsächlich die in den USA, Kasachstan, Japan und Indonesien  lebenden Benutzer betraf .

Welche Informationen von Benutzern wurden durchgesickert?

Das kritische Leck hat ungefähr 500 Millionen Datensätze offengelegt, was insgesamt mehr als 100 GB an Daten umfasst. Die offengelegten Informationen waren von zweierlei Art; personenbezogene Daten von rund einer Million Benutzern und verschiedene Software, die sich auf den Geräten von über 300.000 Benutzern befinden. 

Hier ist eine Liste der exponierten Informationen im Detail. All diese Informationen wurden zwischen Juni 2021 und September 2021 geleakt :

1. Name
2. Handy Nummer
3. Die einem Benutzer zugewiesene IP-Adresse
4. Details zum Gerätetyp
5. Die ursprüngliche IP-Adresse eines Benutzers
6. Dateispeicherorte
7. Software im Gerät des Benutzers
8. Software-Versionsnummer
9. MD5-gehashte Passwörter (mit speziellen Techniken sind direkte Passwörter angreifbar)
10. Datum der Softwareinstallation

Bildnachweis: vpn.inform.click (Software auf dem Gerät des Benutzers nach Name, Installationsdatum und Version)

Was viele von uns misstrauisch gemacht hat, ist, dass die meisten dieser von Quickfox gesammelten Informationen für VPNs völlig irrelevant sind. Darüber hinaus gibt es keine Nutzungsbedingungen/Datenschutzbestimmungen von Quickfox, was bedeutet, dass die meisten Benutzer dieses VPNs nicht wissen, dass das VPN all diese Informationen sammelt.

Was sind die potenziellen Risiken dieses Datenlecks und wie können Sie sich schützen?

Wenn Sie im Jahr 2021 ein Quickfox-Benutzer waren, müssen Sie auf die unten aufgeführten potenziellen Risiken achten:

1 Betrug und Betrug:

Die bei dieser Datenschutzverletzung durchgesickerten Informationen könnten von Hackern entdeckt werden und zu Betrug und betrügerischen Handlungen führen. Beispielsweise könnten Hacker Sie anrufen, sich für wichtige Personen ausgeben und Ihre PII verwenden, um Vertrauen aufzubauen. Sobald dies erledigt ist, versuchen sie möglicherweise, sensiblere Daten wie Ihre Kreditkartendaten von Ihnen zu extrahieren.

Aus diesem Grund sollten Sie nicht jedem Anruf vertrauen, den Sie erhalten, und nur begrenzte Informationen an Organisationen weitergeben.

2 Phishing-Angriffe:

Mit exponierten Daten werden Phishing-Angriffe extrem einfach. Ein Hacker könnte Ihnen beispielsweise eine E-Mail senden, die aussehen könnte, als käme sie von Quickfox, und einen Link enthalten könnte, der möglicherweise einen Virus auf Ihrem Gerät freisetzt. Da sie viele Ihrer personenbezogenen Daten haben, würde die Handlung äußerst überzeugend und echt aussehen.

Dazu müssen Sie lernen, wie Sie sich vor einem Phishing-Angriff schützen können. Rufen Sie in diesem Fall einfach die Organisation an und überprüfen Sie die E-Mail, bevor Sie persönliche Informationen weitergeben oder auf einen darin enthaltenen Link klicken.

3 Passwortlecks:

Eine Hacking-Technik, die niemals alt wird, ist das Knacken der Passwörter von Benutzern, um auf ihre Konten zuzugreifen. Leider verwenden Benutzer in der Regel dasselbe Passwort für mehrere Konten, um es leicht wiederzufinden, wodurch sie anfällig für Kontoübernahmen werden.

Aus diesem Grund wird dringend empfohlen, für alle Ihre Konten ein separates Passwort zu führen und die Passwörter alle 90 Tage zu ändern. Nur damit Sie es wissen, wenn Sie ein Microsoft-Konto besitzen, können Sie es völlig passwortlos verwenden  . Dies bedeutet, dass Sie weniger Konto mit einem Passwort schützen müssen.

Fazit

Nun, es ist nicht nur Quickfox, der vertrauliche Benutzerinformationen der Welt preisgibt. Kürzlich hat ein beliebtes SMS-Routing-Unternehmen Daten von Benutzern für fünf Jahre offengelegt, einschließlich ihrer Anmeldeinformationen, Textnachrichten und mehr.

Aber die Nutzung kostenloser VPN-Dienste war schon immer riskant. Da Ihnen diese VPNs kein Geld in Rechnung stellen, kosten Sie viele von ihnen Ihre Privatsphäre und sensible Informationen. Aus diesem Grund sollten Sie immer den besten VPN-Dienstverwenden  und dessen Nutzungsbedingungen gründlich durchgehen, bevor Sie sich anmelden.