Le fabricant de stalkerware pcTattletale a été piraté, puis a tout supprimé et a cessé d'exister

En mai 2024, pcTattletale, une application américaine de stalkerware qui permettait à un installeur de consulter à distance, depuis n'importe où, des captures d'écran d'un appareil Android ou Windows d'une victime, a été piratée : un pirate a défiguré son site web et publié des liens vers de grandes quantités de données provenant de ses serveurs, notamment des bases de données clients et des données volées à certaines victimes. Le site de notification de fuites Have I Been Pwned a recensé 138 000 comptes clients.

Le pirate a déclaré que les serveurs de l'application pouvaient être amenés à livrer les clés privées de son compte Amazon Web Services, qui stockait des centaines de millions de captures d'écran d'appareils surveillés ; TechCrunch a vérifié plus de 300 millions de ces captures d'écran sur un serveur Amazon S3, et que des captures d'écran provenant de véritables appareils surveillés étaient accessibles publiquement. L'application faisait la promotion de la surveillance des employés tout en encourageant ouvertement l'espionnage de conjoints et de partenaires domestiques sans leur consentement — ce qui est illégal.

Le fondateur Bryan Fleming a déclaré à TechCrunch que l'entreprise était « hors d'affaires et complètement terminée » : il avait perdu l'accès au compte AWS, et « j'ai tout supprimé parce que la fuite de données aurait pu exposer mes clients ». Le serveur S3 a ensuite renvoyé l'erreur « AllAccessDisabled » d'Amazon ; ni Fleming ni Amazon n'ont voulu dire si AWS avait fermé le compte. Fleming n'a pas expliqué pourquoi les données avaient été supprimées sans prévenir les personnes dont les informations avaient été exposées, et il a cessé de répondre aux demandes de renseignements.

L'entreprise a disparu : site web hors ligne, compte AWS bloqué, fondateur privé d'accès — et les données de ses 138 000 clients publiées via Have I Been Pwned

Un produit fondé sur l'accès dissimulé conservait les écrans les plus privés de ses victimes dans un seul compartiment — la chose la plus dommageable à divulguer.

Des serveurs que l'on peut amener à livrer des clés cloud montrent la même sécurité défaillante que celle dénoncée par les critiques du produit.

Tout supprimer sans prévenir les personnes exposées a échangé un nettoyage contre l'apparence d'une dissimulation.

La commercialisation de l'espionnage de partenaires non consentants avait déjà placé l'entreprise hors de ce que les régulateurs et les plateformes tolèrent.

Une entreprise de surveillance incapable de sécuriser ses propres clés donne raison à ses critiques — et supprimer les preuves met fin à l'entreprise, pas à l'exposition.

Au 28 mai 2024, le site web de pcTattletale était hors ligne et l'entreprise s'est déclarée hors d'affaires, à la suite de fins similaires pour les fabricants de logiciels espions LetMeSpy (2023) et PhoneSpector et Highster après une enquête de New York. La FTC a refusé de dire si elle enquêtait.