ストーカーウェア運営「Spyhide」がハッキングされ、Oospyとしてブランド変更するも数週間で再び消滅

Spyhideは、世界中の数万台のAndroid端末所有者の監視を容易にする携帯電話監視アプリだった。この種のストーカーウェアは、多くの場合、被害者のパスコードを知る人物によって被害者の携帯電話に仕込まれ、その後、連絡先、メッセージ、写真、通話履歴、録音、詳細な位置履歴を継続的に盗み出す。

2023年、ハッキングによってこの運営とそこから利益を得ていた管理者らが暴露され、Spyhideのウェブサイトはインターネット上から消えた。しかし、まったく別のドメインでホストされていたバックエンドサーバーはオンラインのままで、監視対象の携帯電話との通信を続けていた。これにより管理者らは、監視活動自体を妨げることなく、2023年7月下旬にOospyとして再始動することができた。

第2幕は数週間しか続かなかった。TechCrunchはMohammad（Mojtaba）Arastehを含む2名の管理者を特定した。Arastehは「数年前にプログラマーとして」このプロジェクトに関わったことを認めたが、Oospyへの関与は否定した。Oospyの決済ページのミスにより、顧客の支払いを受け取っていたPayPalアドレスのアカウント名が露呈し、OospyはまもなくPayPalでの受け付けを停止した。2023年10月5日、ウェブホストのHetznerは、数千台のAndroid端末から盗まれた携帯電話データを保存していたバックエンドサーバーを、利用規約違反を理由にオフラインにし、これによりこの運営は機能できなくなった。

世界中で少なくとも6万人の被害者、その中には米国内の数千人も含まれる。ブランド変更は、サーバーホストが契約を解除するまでの数週間しか持ちこたえられなかった。

ブランド変更後も、焼け焦げたバックエンドは元のドメイン上で稼働し続けたため、同じインフラが標的であり続け、追跡の手がかりにもなり続けた。

ストーカーウェアのビジネスは主流の決済網に依存していた。PayPalはスパイウェアを禁じる方針にもかかわらず顧客の支払いを処理し、その依存が2度目の暴露につながった。

研究者が管理者を特定すると暴露はさらに深刻化した。PayPalアカウントに共有された姓一つに至るまで、あらゆる運営の詳細が証拠となった。

ウェブホストはブランド変更では置き換えられない相手だった。Hetznerは利用規約を執行し、サーバーの電源を切った。

ブランド変更で直るのは名前だけで、漏えいは直らない。同じバックエンド、同じ決済網、同じ運営上のミスが、2度目もあなたを暴き出す。

Oospyのウェブサイトは、TechCrunchがArastehに連絡した直後に完全にオフラインとなり、サーバー停止はSpyhideとOospyが活動できる状態の終わりを告げた——少なくとも今のところは。彼らは、2023年6月のデータ侵害後に停止したポーランドのストーカーウェアLetMeSpy、そしてTechCrunchの調査でSupport King——以前の侵害後にFTCが監視業界から追放した製造元——との関連が判明した後に消えた、既知のAndroidスパイウェアアプリの中で最大級の一つであるSpyTracの後を追った。