En mayo de 2024, pcTattletale, una aplicación estadounidense de stalkerware que permitía a quien la instalaba ver remotamente capturas de pantalla de un dispositivo Android o Windows de una víctima desde cualquier lugar, sufrió una brecha: un hacker desfiguró su sitio web y publicó enlaces a grandes cantidades de datos de sus servidores, incluidas bases de datos de clientes y datos robados de algunas víctimas. El sitio de notificación de brechas Have I Been Pwned contabilizó 138.000 cuentas de clientes.
El hacker dijo que se podía engañar a los servidores de la aplicación para que entregaran las claves privadas de su cuenta de Amazon Web Services, que almacenaba cientos de millones de capturas de pantalla de dispositivos monitorizados; TechCrunch verificó más de 300 millones de esas capturas en un servidor de Amazon S3, y que las capturas de dispositivos reales monitorizados eran accesibles públicamente. La aplicación se había anunciado como monitorización de empleados mientras también promovía abiertamente espiar a cónyuges y parejas domésticas sin su consentimiento, lo cual es ilegal.
El fundador Bryan Fleming dijo a TechCrunch que la empresa estaba «fuera del negocio y completamente acabada»: había perdido el acceso a la cuenta de AWS y «borré todo porque la brecha de datos podría haber expuesto a mis clientes». El servidor S3 devolvió después el error «AllAccessDisabled» de Amazon; ni Fleming ni Amazon quisieron decir si AWS había cerrado la cuenta. Fleming no explicó por qué se borraron los datos sin notificar a las personas cuya información quedó expuesta, y dejó de responder a las consultas.
La empresa ha desaparecido: sitio web fuera de línea, cuenta de AWS bloqueada, fundador sin acceso, y los datos de sus 138.000 clientes publicados a través de Have I Been Pwned
Un producto construido sobre el acceso encubierto guardaba las pantallas más privadas de sus víctimas en un solo bucket: lo más dañino de filtrar.
Los servidores que pueden ser engañados para que entreguen claves de la nube muestran la misma seguridad débil que alegaban los críticos del producto.
Borrar todo sin notificar a las personas expuestas cambió una limpieza por la apariencia de un encubrimiento.
El marketing del espionaje a parejas sin consentimiento ya había puesto a la empresa fuera de lo que toleran los reguladores y las plataformas.
Un negocio de vigilancia que no puede proteger sus propias claves demuestra que sus críticos tienen razón, y borrar las pruebas acaba con la empresa, no con la exposición.
Para el 28 de mayo de 2024, el sitio web de pcTattletale estaba fuera de línea y la empresa se declaró fuera del negocio, tras finales similares de los fabricantes de spyware LetMeSpy (2023) y PhoneSpector y Highster después de una investigación de Nueva York. La FTC se negó a decir si estaba investigando.
CONSULTA LAS PRUEBAS
Las fuentes
- Spyware maker pcTattletale says it's 'out of business' and shuts down after data breach TechCrunch · techcrunch.com ·