Šta znaju o vama ukoliko ste jedan od 235 miliona korisnika YouTube-a i Instagram-a o kojima su procureli podaci?

Ukoliko ste ubeđeni da su curenja podataka o korisnicima postala sve češća i da ih se sigurno desilo na stotine, delimično ste u pravu. Istina je da je od 2018. broj korisničkih imena i lozinki koje se nalaze u cirkulaciji na dark web-u porastao za 300 odsto. Međutim, The Digital Shadows Photon Research tim je pokazao da se ovih curenja nije desilo stotine, već oko 100.000. Njihovo osamnaestomesečno istraživanje dark web-a je otkrilo da su ukradene informacije o preko 15 milijardi naloga, od kojih je oko pet milijardi jedinstveno.

Najnovije masovno curenje je pokazalo da je čak 235 miliona korisnika Instagram-a, TikTok-a i YouTube-a sada izloženo zlonamernim napadima. Ono što još više zabrinjava je da ovaj slučaj spada u one u kojima se nije desilo neko kompleksno hakovanje, već je baza podataka jednostavno bila nezaštićena.

Lakši posao za botove

Procureli podaci su podeljeni u nekoliko setova. Dva najveća, od kojih je svaki sadržao informacije o nešto manje od 100 miliona korisnika, prikupljeni su od korisnika Instagrama. Treći set podataka je o 42 miliona korisnika TikTok-a, a najmanji je o nešto manje od četiri miliona korisnika YouTube-a.

Kompanija koja je otkrila ovo curenje, Comparitech, otkrila je da je o jednoj petini korisnika otkriven ili broj telefona ili email adresa. Svaki zapis sadrži bar jednu, a neki i svaku, od sledećih informacija: Profilno ime; Puno lično ime; Profilnu sliku; Opis naloga.

Pored toga, otkrivena je i statistika o engagement-u pratilaca, uključujući: Broj pratilaca; Stopu engagement-a; Brzinu rasta broja pratilaca; Pol publike; Godine publike; Lokaciju publike; „Lajkove”; Vreme poslednjeg postovanja; Godine; Pol.

Urednik Comparitech-a upozorava da su ove informacije najvrednije kriminalcima koji se bave phishing-om i spamming-om. Najviše zabrinjava to što su ovi podaci objedinjeni u jednu dobro organizovanu bazu, umesto da se svaki pojedinačno „našao u divljini”. Na ovaj način je olakšano botovima da šalju spam komentare na bilo koji Instagram profil, a da pritom to rade vrlo precizno koristeći informacije o polu, godinama i broju pratilaca.

Compartitech napominje da nije poznato koliko je dugo baza podataka bila dostupna javnosti pre nego što su je oni otkrili, ali da su njihovi drugi eksperimenti pokazali da hakeri mogu da pronađu i napadnu neosigurane baze u samo nekoliko sati od njihovog pojavljivanja.

Kako su podaci o korisnicima dospeli u javnost?

Istraživači nagoveštavaju da dokazi ukazuju na kompaniju Deep Social. Naime, 2018. godine je ova kompanija bila zabranjena od strane Facebook-a i Instagram-a, baš zbog prikupljana podataka o korisnicima. Kada su poslali upozorenje kompaniji, ona ga je samo prosledila drugoj kompaniji baziranoj u Hong Kongu – Social Data, koja se bavi marketingom za influensere na društvenim mrežama. Tri sata kasnije, Social Data je uklonila bazu podataka koju su stvorili. Nakon toga su porekli da postoji bilo kakva veza između njih i Deep Social-a. U prevodu, podatke koje su skupili nisu dobro zaštitili, tako da Deep Social-u nije bilo teško da ih preuzme.

Zvaničnici Social Data-e su dali sledeću izjavu o prvobitnom incidentu:

Mi prikupljamo podatke i obogaćujemo ih korisnim uvidima isključivo za naše ugledne kupce, koji ih koriste strogo u predviđene svrhe. Izuzetno je žalosno to što je do ovog incidenta došlo nakon niza nesrećnih događaja. Čim smo saznali za incident, rešili smo problem. Od tada blisko sarađujemo sa stručnjacima za informacionu sigurnost na reviziji naše bezbednosne infrastrukture i povećavamo potrebne nivoe informacione sigurnosti da bismo izbegli slična dešavanja u budućnosti.

Korisnici YouTube-a, Instagram-a i TikTok-a da budu na oprezu

U narednom periodu bi bilo vrlo pametno od strane korisnika nekog od ovih servisa da paze na phishing prevare koje im mogu stići preko email-a ili komentara na društvenim mrežama.

Savetuje se i svim kompanijama koje imaju bilo kakve baze podataka na cloud-u da istraže ko ima mogućnost da im pristupi i da ih zatvore za sve ljude kojima nije apsolutno neophodno da ih vide.