Pochi giorni fa è stata rilevata una violazione di dati a danno di diverse VPN gratuite (e non solo). Nonostante la dichiarata no-log policy di queste aziende, la falla di sicurezza ha esposto dati, traffico e attività online di milioni di utenti.
A individuare la minaccia è stato il team di ricerca di sicurezza informatica di vpnMentor, che ha stilato un resoconto completo della scoperta. Per questo, abbiamo deciso di tradurre le sezioni più importanti del report, pubblicandole anche qui, su Stolas Informatica. Se dovessi essere interessato all’analisi intera in lingua originale, puoi trovarla a questo indirizzo.
Report: VPN no-log espongono registri e informazioni personali dei propri utenti al mondo
Diverse app VPN gratuite hanno lasciato i propri server completamente aperti e accessibili, esponendo i dati privati dei propri utenti a chiunque. La mancanza di misure di sicurezza basilare in una parte essenziale del prodotto di sicurezza informatica non è solo sorprendente. La falla infatti mostra anche un totale sdegno per le prassi standard adottate dalle VPN più serie, esponendo così a rischi i propri utenti.
Il team di ricerca di vpnMentor, condotto da Noam Rotem, ha scoperto il server e trovato Informazioni Personali Identificabili (PII, Personal Identifiable Information) di oltre 20 milioni di utenti VPN, stando ai numeri dichiarati dai servizi VPN interessati.
Tutte queste VPN dichiarano di offre servizi “no-log”, ovvero che non vengono registrate le attività degli utenti dalle rispettive app. Tuttavia, abbiamo trovato diverse istanze di registri di attività internet sul loro server condiviso. Questi registri sono in aggiunta alle PII rilevate, che includono indirizzi email, password in chiaro, indirizzi IP, indirizzi fisici, modelli e ID dei dispositivi e altri dettagli tecnici.
Le VPN colpite sono UFO VPN, FAST VPN, Free VPN, Super VPN, Flash VPN, Secure VPN e Rabbit VPN. Tutti questi servizi sembrano collegati da uno sviluppatore di app white-label per più aziende.
Violazione dei dati: sintesi
| App | UFO VPN, FAST VPN, Free VPN, Super VPN, Flash VPN, Secure VPN, Rabbit VPN |
| Sedi | Hong Kong |
| Settore | Sicurezza Informatica |
| Dimensione dei dati | 1,207 TB |
| Totale dei file | 1.083.997.361 registri |
| Utenti esposti | Oltre 20 milioni, secondo i numeri dichiarati dalle aziende |
| Ambito geografico | Mondiale |
| Tipi di dati esposti | Registri di attività, PII (nomi, email, indirizzi fisici), password in chiaro, informazioni di pagamenti in Bitcoin, messaggi di assistenza, informazioni sui dispositivi personali, caratteristiche tecniche, informazioni account, link diretti alle API di Paypal |
| Impatto potenziale | Frodi, doxing, ricatti, estorsioni, attacchi virali, hacking, arresti, persecuzioni |
| Formato di archivio dati | ElasticSearch Server |
Profilo aziendale
Stando a quanto rilevato, riteniamo che le VPN colpite dalla violazione condividano lo stesso sviluppatore:
- Le VPN condividono tutte un server ElasticSearch;
- Si trovano sulle stesse macchine;
- Offrono un’unica ricevuta per i pagamenti, Dreamfii HK Limited;
- Almeno tre delle VPN sul server hanno praticamente lo stesso branding sul proprio sito .
Crediamo quindi che le VPN in questione siano app “white-label”, create da un unico ente e quindi rimarchiate con nomi diversi.
I brand di queste VPN includono:
- UFO VPN – “VPN per Android super privata e senza limiti di velocità. Nascondi il tuo IP e sblocca siti a 360 gradi.”
Google Play Store: 4.5 stelle, 10M+ download
Apple App Store: 4.8 stelle
Sviluppatore: Dreamfii HK Limited, Hong Kong - FAST VPN – “VPN gratis al 100% per gaming: accedi a siti web, app e giochi mobili senza limiti”
Google Play Store: 4.5 stelle, 1M+ download
Apple App Store: 4.6 stelle
Sviluppatore: Mobipotato HK Limited, Hong Kong - FREE VPN – “Il miglior tunnel VPN gratis per Android per sbloccare contenuti. Prova la sensazione spaziale!”
Google Play Store: 4.5 stelle, 100k+ download
Apple App Store: 4.6 stelle
Sviluppatore: Starxmobi HK Ltd, Hong Kong - Super VPN – “Super VPN è la miglior proxy VPN senza limiti per Android.”
Google Play Store: 4.6 stelle, 1M+ download
Apple App Store: 4.9 stelle
Sviluppatore: Nownetmobi, Hong Kong
Dreamfii, lo sviluppatore indicato di UFO VPN, si pubblicizza come azienda di marketing per le imprese. Le VPN sopraelencate si trovano sugli stessi dispositivi, insieme a Flash VPN, Secure VPN per iOS e altre ancora.
Secondo i rispettivi siti web, tutte queste VPN offrono caratteristiche di sicurezza di livello militare e politiche zero-log per assicurare la privacy dei propri utenti.
Tuttavia, non è quanto abbiamo rilevato nella nostra ricerca.
Abbiamo identificato log di attività di ciascuna VPN, espondendo le informazioni personali degli utenti e le attività di navigazione durante il collegamento alle VPN, con password in chiaro, raramente utilizzate nei prodotti con sicurezza di livello militare.
Tempistiche del data breach
- Data scoperta: 5 luglio 2020
- Data della notifica alle VPN: 5 luglio 2020
- Data dei contatti con le VPN: dal 5 al 14 luglio 2020
- Data del contattato con HK CERT: 8 luglio 2020
- Data chiusura del server: 15 luglio 2020
A volte, l’ampiezza della violazione dei dati e il proprietari degli stessi sono fattori ovvi e la problematica viene risolta rapidamente. Purtroppo però sono casi abbastanza rari. La maggior parte delle volte, ci servono giorni per investigare a fondo prima di capire cosa è in gioco e chi sta esponendo i dati.
Comprendere appieno una violazione e il suo potenziale impatto richiede molto tempo e attenzione. Ci impegniamo costantemente per pubblicare resoconti affidabili e corretti, per assicurarci che chiunque li legga possa capirne la serietà.
Abbiamo stabilito quasi immediatamente che le VPN con database e server esposti condividessero uno sviluppatore o proprietario.
Impatto della violazione di dati sugli utenti VPN
Phishing e frodi informatiche
Usando le PII esposte sul server ElasticSearch, hacker malevoli e criminali informatici potrebbero creare campagne di phishing estremamente efficaci, prendendo di mira gli utenti delle VPN esposte.
Una campagna di phishing prevede la creazione di mail fittizie, che imitino imprese ed enti reali (leggi la guida completa al phishing). Queste mail vogliono quindi trarre in inganno le vittime, facendosi fornire informazioni finanziarie delicate, come dettagli delle carte di credito, oppure facendo cliccare un link con software malevolo, come malware e ransomware.
Utilizzando anche le informazioni disponibili sui metodi di pagamento tramite Paypal o Bitcoin, c’è tutto il necessario perché un ladro digitale con abbastanza formazione possa sfruttare gli utenti delle VPN tramite queste piattaforme.
Ricatto, estorsione e doxing
Gli utenti VPN contano sulla promessa di anonimato e privacy dei provider VPN per diversi motivi. Il vantaggio più grande però è quello di nascondere sia la propria identità che la propria attività online.
Una VPN non dovrei mai rendere collegabili l’identità di una persona e la sua attività di navigazione. Tuttavia, visti i registri di attività di queste VPN, è successo esattamente il contrario, esponendo tutte queste informazioni al pubblico.
Se questi registri VPN finissero in mano a hacker malevoli, potrebbero prendere di mira gli utenti per ricattarli, estorcere soldi e minacciare di pubblicare online le loro attività private.
Arresto o persecuzione
Milioni di utenti VPN esposti in questa violazione vivono in paesi con governi violenti e repressivi, come Iran e Sudan.
Registrando le attività dei propri utenti e rendendo pubbliche tutte queste PII, nonostante la promessa del contrario, queste VPN hanno di fatto tradito i loro utenti più vulnerabili, espondendoli a un enorme pericolo.
Se i registri finissero sul dark web o venissero condivisi pubblicamente, i governi dittatoriali potrebbero utilizzarli per arrestare, detenere e imprigionare gli utenti nei propri paesi.
Violazione VPN gratuite: consigli per gli utenti VPN (e non)
Se stai usando una delle VPN colpite da questa violazione, ti consigliamo di passare a un provider più sicuro.
Esistono molte VPN gratuite eccellenti, che non risparmiano su sicurezza e seguono stringenti protocolli per la privacy.
Tuttavia, anche le migliori VPN gratis hanno molti limiti e possono essere veramente frustranti da utilizzare, per via della loro velocità ridotta, pubblicità e altro ancora.
Se ci tieni veramente alla tua privacy online e vuoi essere sicuro che la tua VPN non ti sta esponendo a rischi, dai un’occhiata alle migliori VPN del [current_date format=”Y”].
Che ne pensi di questa violazione delle VPN gratuite? Commenta qui sotto e condividi l’articolo con i tuoi amici! Non dimenticarti di iscriverti alla newsletter di Stolas Informatica e di seguirmi su Facebook e Instagram per rimanere sempre aggiornato!
Caricamento...
