UFO VPN non mantiene le promesse: database esposti con tutti i dati degli utenti
UFO VPN, un provider VPN con base a Hong Kong, ha esposto un database di registri utente e record di accesso API sul Web senza una password o qualsiasi altra autenticazione richiesta per accedervi.
Vuoi rimanere aggiornato su tutte le ultime news? Iscriviti al nostro canale Telegram!
Le informazioni esposte includono password di testo semplice e informazioni che potrebbero essere utilizzate per identificare gli utenti VPN e tenere traccia delle loro attività online.
Bob Diachenko, che guida il team di ricerca sulla sicurezza di Comparitech, ha scoperto questa grave esposizione, che colpisce sia gli utenti gratuiti che a pagamento della UFO VPN. Una volta scoperto il tutto, Diachenko ha provveduto ad avvisare immediatamente l’azienda.
Non è chiaro quanti utenti siano interessati da questa esposizione, ma stando a quanto riportato dal team tutti gli utenti che si sono connessi alla UFO VPN nelle tre settimane finite sotto il mirino dei ricercatori sono potenzialmente a rischio. La VPN afferma di avere 20 milioni di utenti sul suo sito Web e il database ha esposto oltre 20 milioni di log al giorno.
Dopo due settimane dall’invio della documentazione a UFO VPN, la società ha chiuso il database e ha risposto via e-mail: “A causa delle modifiche del personale causate da COVID-19, non abbiamo trovato subito questi bug nelle regole del firewall del server, che portano ad un potenziale rischio di violazione. Siamo intervenuti per risolverlo”.
“Non raccogliamo alcuna informazione per la registrazione – ha detto il portavoce della VPN – In questo server, tutte le informazioni raccolte sono anonime e possono essere utilizzate solo per analizzare le prestazioni e i problemi della rete dell’utente per migliorare la qualità del servizio”.
Tuttavia, secondo il team di Comparitech i dati non sembrano affatto essere anonimi. In attesa di ulteriori chiarimenti, il consiglio che viene dato a tutti gli utenti della UFO VPN è di cambiare immediatamente la password.
