스토커웨어 제조사 pcTattletale, 해킹당한 뒤 모든 데이터 삭제하고 폐업

2024년 5월, 설치자가 어디서든 피해자의 안드로이드 또는 윈도우 기기 화면을 원격으로 볼 수 있게 해주던 미국의 스토커웨어 앱 pcTattletale이 해킹당했다. 한 해커가 웹사이트를 훼손하고 고객 데이터베이스와 일부 피해자의 탈취된 데이터를 포함해 서버에 있던 대량의 데이터 링크를 공개했다. 유출 통지 사이트 Have I Been Pwned는 고객 계정 138,000개를 집계했다.

해커는 이 앱의 서버를 속여 감시 대상 기기의 스크린샷 수억 장을 보관하던 아마존 웹 서비스(AWS) 계정의 개인 키를 넘겨받을 수 있었다고 말했다. TechCrunch는 아마존 S3 서버에서 그러한 스크린샷 3억 장 이상을 확인했으며, 실제 감시 대상 기기에서 나온 스크린샷이 공개적으로 접근 가능한 상태였음을 확인했다. 이 앱은 직원 모니터링을 광고하면서 동시에 배우자나 동거 파트너를 동의 없이 염탐하는 것도 공공연히 홍보했는데, 이는 불법이다.

창업자 브라이언 플레밍은 TechCrunch에 회사가 '폐업했고 완전히 끝났다'고 말했다. 그는 AWS 계정 접근 권한을 잃었으며 '데이터 유출로 고객이 노출될 수 있었기 때문에 모든 것을 삭제했다'고 했다. 이후 S3 서버는 아마존의 'AllAccessDisabled' 오류를 반환했다. 플레밍도 아마존도 AWS가 해당 계정을 폐쇄했는지는 밝히지 않았다. 플레밍은 정보가 노출된 사람들에게 알리지 않고 데이터를 삭제한 이유를 설명하지 않았으며, 이후 문의에 응답하지 않았다.

회사는 사라졌다. 웹사이트는 오프라인이 되고, AWS 계정은 차단되었으며, 창업자는 접근이 차단되었다. 그리고 고객 138,000명의 데이터가 Have I Been Pwned를 통해 공개되었다.

은밀한 접근을 기반으로 만들어진 제품이 피해자들의 가장 사적인 화면을 하나의 버킷에 모아두었으니, 유출될 수 있는 것 중 가장 치명적인 것이 유출된 셈이다.

클라우드 키를 넘겨주도록 속아 넘길 수 있는 서버는 이 제품의 비판자들이 주장해 온 것과 같은 취약한 보안을 보여준다.

노출된 사람들에게 알리지 않고 모든 것을 삭제한 것은 수습 대신 은폐의 인상을 남겼다.

동의하지 않는 파트너를 염탐하는 것을 홍보한 마케팅은 이미 규제 당국과 플랫폼이 용인하는 범위를 벗어나 있었다.

자신의 키조차 안전하게 지키지 못하는 감시 사업은 비판자들이 옳았음을 입증한다. 그리고 증거를 삭제하는 것은 회사를 끝낼 뿐, 노출을 끝내지는 못한다.

2024년 5월 28일까지 pcTattletale의 웹사이트는 오프라인이 되었고 회사는 폐업을 선언했다. 이는 스파이웨어 제조사 LetMeSpy(2023년)와, 뉴욕주 조사 이후의 PhoneSpector 및 Highster가 맞은 비슷한 결말을 뒤따른 것이다. FTC는 조사 여부를 밝히지 않았다.