To może być największy wyciek w historii. Rosjanie wykradli lokalizację milionów użytkowników

Jedna z największych firm zajmujących się śledzeniem lokalizacji za pomocą danych ze smartfonów, Gravy Analytics, padła ofiarą cyberataku. Rosyjscy hakerzy zażądali okupu w zamian za nieujawnianie danych, które rzekomo zhakowali. Incydent, który ujawnili dwaj badacze ds. cyberbezpieczeństwa, może okazać się jednym z największych naruszeń w historii firm handlujących danymi o lokalizacji.

Według raportów, hakerzy włamali się do pamięci w chmurze Amazon Web Services, gdzie Gravy przechowywała swoje dane. Firma ta zajmuje się śledzeniem lokalizacji Amerykanów, jednak według źródeł problem dotyczy użytkowników na całym świecie. Na popularnym rosyjskim forum XSS, cyberprzestępca opublikował dowody w postaci zrzutów ekranu oraz 17 terabajtów danych. Opublikowane materiały, które zawierają m.in. bazę ponad 300000 adresów e-mail, zostały pobrane i przeanalizowane przez ekspertów. Robert Baptiste, szef Predicta Lab, francuskiej firmy zajmującej się analizą danych, stwierdził, że wyciek dotyczył około 30 milionów lokalizacji na całym świecie. Choć dane nie identyfikują osób wprost, umożliwiają śledzenie ich codziennych aktywności, takich jak miejsce zamieszkania, pracy czy odwiedzane miejsca kultu.

Firmy sprzedające dane pod lupą

Gravy Analytics oraz jej spółka zależna, Venntel, już wcześniej znalazły się w centrum kontrowersji. W zeszłym miesiącu Federalna Komisja Handlu (FTC) oskarżyła je o nielegalne zbieranie i sprzedaż danych o lokalizacji użytkowników bez ich zgody. Dane te wykorzystywano m.in. do mapowania życia użytkowników w najdrobniejszych szczegółach, często bez ich wiedzy. W skardze FTC podkreślono, że Gravy codziennie przetwarza 17 miliardów sygnałów ze smartfonów użytkowników, a Venntel sprzedaje te dane reklamodawcom i agencjom rządowym, określając „wzorce życia” ludzi. Śledzono w ten sposób m.in. miejsca spania, pracy i odwiedzane budynki rządowe.

Dziurawy system ochrony danych

Eksperci ds. cyberbezpieczeństwa zauważają, że firmy gromadzące dane o lokalizacji są szczególnie podatne na ataki. John Hammond z firmy Huntress stwierdził, że brak odpowiednich zabezpieczeń umożliwia hakerom łatwy dostęp do danych, które mogą być wykorzystywane zarówno w celach komercyjnych, jak i przestępczych. Pomimo poważnych naruszeń, strona internetowa Gravy pozostaje niedostępna, a firma nie skomentowała publicznie incydentu. Norweski serwis informacyjny NRK ujawnił jednak, że Gravy poinformowało norweski urząd ochrony danych o ataku, wskazując na nieautoryzowany dostęp do swojej infrastruktury.

Stany Zjednoczone nie posiadają kompleksowego federalnego prawa dotyczącego prywatności danych. To otwiera furtkę dla takich incydentów, jak ten dotyczący Gravy. W 2023 roku Biuro Dyrektora Wywiadu Narodowego ujawniło, że amerykańskie agencje wywiadowcze często kupują dane od brokerów, co również jest niepokojące. Pomimo pseudonimizacji danych, badacze wielokrotnie udowadniali, że można łatwo zidentyfikować konkretne osoby, analizując ich ruchy i miejsca pobytu. Wycieki takie jak ten stawiają pod znakiem zapytania zarówno etykę, jak i bezpieczeństwo takich działań, szczególnie w kontekście braku odpowiednich regulacji prawnych.

Rosyjscy hakerzy zapowiedzieli publikację kolejnych danych, jeśli firma nie zapłaci okupu. Choć część plików została już usunięta, ślady po nich pozostają dostępne w cyberprzestrzeni, co może mieć długofalowe konsekwencje.