Im Mai 2024 wurde pcTattletale, eine US-Stalkerware-App, mit der eine Person aus der Ferne Screenshots vom Android- oder Windows-Gerät eines Opfers von überall aus ansehen konnte, gehackt: Ein Hacker verunstaltete die Website des Unternehmens und veröffentlichte Links zu großen Datenmengen von dessen Servern, darunter Kundendatenbanken und einige gestohlene Daten von Opfern. Die Website zur Meldung von Datenlecks Have I Been Pwned zählte 138.000 Kundenkonten.
Der Hacker erklärte, die Server der App ließen sich dazu bringen, die privaten Schlüssel für ihr Amazon-Web-Services-Konto herauszugeben, in dem Hunderte Millionen Screenshots überwachter Geräte gespeichert waren; TechCrunch verifizierte mehr als 300 Millionen solcher Screenshots auf einem Amazon-S3-Server und dass Screenshots von tatsächlich überwachten Geräten öffentlich zugänglich waren. Die App hatte Mitarbeiterüberwachung beworben und zugleich offen das Ausspähen von Ehepartnern und häuslichen Partnern ohne deren Einwilligung angepriesen – was illegal ist.
Der Gründer Bryan Fleming sagte zu TechCrunch, das Unternehmen sei „out of business and completely done“ (geschlossen und vollständig erledigt): Er habe den Zugang zum AWS-Konto verloren, und „ich habe alles gelöscht, weil die Datenpanne meine Kunden hätte bloßstellen können“. Der S3-Server lieferte später Amazons Fehler „AllAccessDisabled“; weder Fleming noch Amazon wollten sagen, ob AWS das Konto gesperrt hatte. Fleming erklärte nicht, warum die Daten gelöscht wurden, ohne die Personen zu benachrichtigen, deren Informationen offengelegt worden waren, und antwortete nicht mehr auf Anfragen.
Das Unternehmen ist weg: Website offline, AWS-Konto gesperrt, Gründer ausgesperrt – und die Daten seiner 138.000 Kunden über Have I Been Pwned veröffentlicht
Ein Produkt, das auf verdecktem Zugriff aufbaut, hielt die privatesten Bildschirminhalte seiner Opfer in einem einzigen Bucket – das Schädlichste überhaupt, was man preisgeben kann.
Server, die sich dazu bringen lassen, Cloud-Schlüssel herauszugeben, zeigen dieselbe schwache Sicherheit, die die Kritiker des Produkts behauptet hatten.
Alles zu löschen, ohne die bloßgestellten Personen zu benachrichtigen, tauschte eine Bereinigung gegen den Anschein einer Vertuschung ein.
Die Vermarktung des Ausspähens nicht einwilligender Partner hatte das Unternehmen bereits außerhalb dessen gestellt, was Regulierer und Plattformen tolerieren.
Ein Überwachungsgeschäft, das seine eigenen Schlüssel nicht sichern kann, beweist, dass seine Kritiker recht hatten – und das Löschen der Beweise beendet das Unternehmen, nicht die Bloßstellung.
Bis zum 28. Mai 2024 war die Website von pcTattletale offline und das Unternehmen erklärte sich für geschlossen, nach ähnlichen Enden für die Spyware-Hersteller LetMeSpy (2023) sowie PhoneSpector und Highster nach einer Untersuchung in New York. Die FTC wollte nicht sagen, ob sie ermittelte.
DEN BELEGEN FOLGEN
Die Quellen
- Spyware maker pcTattletale says it's 'out of business' and shuts down after data breach TechCrunch · techcrunch.com ·