Serviços de VPN com fuga de dados de mais de 20 milhões de utilizadores

Um relatório citado pela Eset revela que sete serviços de VPN – que se propõem a salvaguardar a privacidade dos seus utilizadores enquanto navegam pela Internet – foram alvo de uma fuga de dados que põe em causa as credenciais de mais de 20 milhões de utilizadores. Os serviços afetados são: UFO VPN, FAST VPN, FREE VPN, SUPER VPN, Flash VPN, Secure VPN e Rabbit VPN.

O problema é tanto mais grave quanto estes serviços garantem que, precisamente por uma questão de segurança e privacidade, não mantêm registos (“logs”) das atividades dos seus utilizadores. No entanto, deixaram recentemente visíveis para quem quer que quisesse ver, cerca de 1,2 terabytes de dados privados dos seus clientes.

Os dados, encontrados num servidor partilhado por estes fornecedores de serviços, incluía a informação pessoal identificável (“Personally Identifiable Information”, ou PII) de, potencialmente, mais de 20 milhões de utilizadores das VPN, de acordo com investigadores da vpnMentor, que descobriu a falha de segurança.

Além de detalhes pessoais, que incluíam os endereços de email bem como as moradas físicas dos utilizadores, os dados expostos continham passwords (não encriptadas), endereços IP das máquinas usadas e, em muitos casos, também registos de atividade (“Internet activity logs”), o que põe em causa as políticas destes provedores, que garantem não manter quaisquer registos de navegação dos seus clientes.

O relatório da vpnMentor sugere que todos estes serviços baseados em Hong Kong têm por detrás a mesma base de código, o mesmo desenvolvedor e a mesma aplicação – no fundo são soluções tipo “produto branco” que depois adotam diferentes marcas de acordo com a empresa que as comercializa.

Esta suposição é fundamentada na partilha de serviços no mesmo servidor, que hospeda os mesmos ativos e pelo facto de que todos os serviços VPN afetados partilham um único beneficiário para receção de pagamentos.

Os investigadores executaram uma série de testes utilizando um dos serviços, UFO VPN. Após o download e utilização da app móvel para ligação aos servidores à volta do mundo, as suas atividades foram efetivamente registadas numa base de dados, incluindo os seus dados pessoais, emails, endereços IP, dispositivo usado para acesso e servidor ao qual este estava ligado. Além disso, a base de dados também registou o nome de utilizador e respetiva password usada para criar a conta.

Pior, a base de dados continha até dados técnicos sobre os dispositivos no qual a VPN estava instalada, que permitiam facilmente identificar e localizar o seu utilizador. Ou seja, o serviço VPN não estava a oferecer qualquer proteção aos utilizadores e, pelo contrário, o que lhes dava era uma falsa sensação de segurança.