O fabricante de stalkerware pcTattletale foi invadido, depois apagou tudo e morreu

Em maio de 2024, a pcTattletale, um aplicativo de stalkerware dos EUA que permitia a quem o instalava ver remotamente capturas de tela de um dispositivo Android ou Windows de uma vítima de qualquer lugar, foi invadida: um hacker desfigurou seu site e publicou links para grandes quantidades de dados de seus servidores, incluindo bancos de dados de clientes e dados roubados de algumas vítimas. O site de notificação de violações Have I Been Pwned contabilizou 138.000 contas de clientes.

O hacker disse que os servidores do aplicativo podiam ser enganados para entregar as chaves privadas de sua conta na Amazon Web Services, que armazenava centenas de milhões de capturas de tela de dispositivos monitorados; a TechCrunch verificou mais de 300 milhões dessas capturas de tela em um servidor Amazon S3, e que capturas de tela de dispositivos monitorados reais estavam acessíveis publicamente. O aplicativo anunciava monitoramento de funcionários enquanto também promovia abertamente a espionagem de cônjuges e parceiros domésticos sem consentimento — o que é ilegal.

O fundador Bryan Fleming disse à TechCrunch que a empresa estava "fora do negócio e completamente acabada": ele havia perdido o acesso à conta da AWS, e "apaguei tudo porque a violação de dados poderia ter exposto meus clientes". O servidor S3 depois retornou o erro "AllAccessDisabled" da Amazon; nem Fleming nem a Amazon quiseram dizer se a AWS havia encerrado a conta. Fleming não explicou por que os dados foram apagados sem notificar as pessoas cujas informações foram expostas, e parou de responder às indagações.

A empresa acabou: site fora do ar, conta da AWS bloqueada, fundador sem acesso — e os dados de seus 138.000 clientes publicados via Have I Been Pwned

Um produto construído sobre acesso clandestino mantinha as telas mais privadas de suas vítimas em um único bucket — a coisa mais prejudicial de todas para vazar.

Servidores que podem ser enganados para entregar chaves de nuvem mostram a mesma segurança fraca que os críticos do produto alegavam.

Apagar tudo sem notificar as pessoas expostas trocou uma limpeza pela aparência de acobertamento.

O marketing de espionagem de parceiros sem consentimento já havia colocado a empresa fora do que reguladores e plataformas toleram.

Um negócio de vigilância que não consegue proteger suas próprias chaves prova que seus críticos estão certos — e apagar as evidências acaba com a empresa, não com a exposição.

Em 28 de maio de 2024, o site da pcTattletale estava fora do ar e a empresa se declarou fora do negócio, seguindo fins semelhantes dos fabricantes de spyware LetMeSpy (2023) e PhoneSpector e Highster após uma investigação em Nova York. A FTC se recusou a dizer se estava investigando.