ストーカーウェア開発元のpcTattletale、侵害された後に全データを削除して消滅

2024年5月、被害者のAndroidまたはWindows端末のスクリーンショットをどこからでも遠隔で閲覧できるようにする米国のストーカーウェアアプリpcTattletaleが侵害された。ハッカーは同社のウェブサイトを改ざんし、サーバーから得た大量のデータ（顧客データベースや一部被害者の盗まれたデータを含む）へのリンクを公開した。侵害通知サイトHave I Been Pwnedは、顧客アカウント13万8,000件を数えた。

ハッカーは、同アプリのサーバーを騙すことで、監視対象端末の数億枚のスクリーンショットを保存していたAmazon Web Servicesアカウントの秘密鍵を引き出せると述べた。TechCrunchはAmazon S3サーバー上で3億枚を超えるそうしたスクリーンショットを確認し、実際に監視されている端末からのスクリーンショットが公開状態でアクセス可能だったことを確認した。同アプリは従業員監視を宣伝する一方で、同意なく配偶者や同棲パートナーを覗き見することをも公然と促していた——これは違法である。

創業者のBryan FlemingはTechCrunchに対し、会社は「廃業し、完全に終わった」と語った。同氏はAWSアカウントへのアクセスを失い、「データ侵害が顧客を危険にさらす可能性があったので、すべてを削除した」と述べた。その後S3サーバーはAmazonの「AllAccessDisabled」エラーを返した。FlemingもAmazonも、AWSがアカウントを停止したかどうかは明らかにしなかった。Flemingは、情報が流出した人々に通知せずにデータを削除した理由を説明せず、その後問い合わせへの回答を止めた。

会社は消滅した。ウェブサイトはオフライン、AWSアカウントはブロックされ、創業者は締め出された——そして13万8,000人の顧客のデータがHave I Been Pwnedを通じて公開された。

隠密のアクセスを基盤とする製品が、被害者の最も私的な画面を一つのバケットに保管していた——漏えいすれば最も深刻な被害をもたらすものだった。

クラウドの鍵を引き渡すよう騙されるサーバーは、この製品の批判者が主張していたのと同じ弱いセキュリティを示している。

流出した人々に通知せずにすべてを削除したことは、後始末と引き換えに隠蔽の印象を与えた。

同意しないパートナーの盗撮を宣伝していたことは、すでに同社を規制当局やプラットフォームが容認する範囲の外に置いていた。

自らの鍵を守れない監視ビジネスは、批判者が正しかったことを証明する——そして証拠を削除しても、会社が終わるだけで、流出は終わらない。

2024年5月28日までにpcTattletaleのウェブサイトはオフラインとなり、同社は廃業を宣言した。これはスパイウェア開発元のLetMeSpy（2023年）や、ニューヨーク州の調査後のPhoneSpectorとHighsterの同様の末路に続くものだった。FTCは調査しているかどうかについて言及を避けた。