Datenleck: 845 GByte Dating-Daten ungeschützt im Netz

Sicherheitsforscher konnten auf die Nutzerdaten von mindestens acht Dating-Apps zugreifen.

Artikel veröffentlicht am ,
Intime Dating-Daten waren ungeschützt im Internet.
Intime Dating-Daten waren ungeschützt im Internet. (Bild: InspiredImages/Pixabay)

Bilder und Sprachaufnahmen mit anzüglichem Inhalt von spezialisierten Dating-Apps, beispielsweise für Menschen mit Geschlechtskrankheiten wie Herpes, konnten ungeschützt über das Internet heruntergeladen werden. Auch Profilinformationen, private Unterhaltungen, Screenshots von Chatverläufen oder Zahlungsvorgänge enthält das 845 GByte umfassende Datenleck, welches die Sicherheitsforscher Noam Rotem und Ran Locar am 24. Mai 2020 entdeckt hatten. Betroffen sind Hunderttausende, wenn nicht Millionen Nutzer von mindestens acht Dating-Apps.

Stellenmarkt
  1. Informatiker*in oder Wirtschaftsinformatiker*in (m/w/d) für Netzwerke und Telefonie
    Stadt Köln, Köln
  2. Inhouse SAP Teamleiter (m/w/x)
    über duerenhoff GmbH, Raum Heidelberg
Detailsuche

Insgesamt umfasst das Datenleck über 20 Millionen Dateien der Dating-Apps 3somes, Cougary, Gay Daddy Bear, Xpal, BBW Dating, Casualx, SugarD und Herpes Dating, die sich teils an Menschen mit bestimmten sexuellen Vorlieben oder im Falle von Herpes Dating an Personen mit Geschlechtskrankheiten wenden.

Zwar sind laut den Sicherheitsforschern keine Namen oder E-Mail-Adressen enthalten, doch die betroffenen Personen könnten über teils enthaltene Aufnahmen ihrer Gesichter oder anhand von persönlichen und intimen Details, welche die App-Nutzenden untereinander ausgetauscht hatten, dennoch identifiziert werden.

"Wir waren erstaunt über die Größe und die Sensibilität der Daten", sagt Locar dem Magazin Wired. "Die Gefahr des Doxing, die bei dieser Art von Dingen besteht, ist sehr real - Erpressung, psychologischer Missbrauch. Als Benutzer einer dieser Apps erwartet man nicht, dass andere außerhalb der App die Daten sehen und herunterladen können." Ob die Daten bereits von anderen entdeckt und heruntergeladen wurden, wissen die Forscher nicht.

Daten waren aus ungeschützten S3 Buckets abrufbar

Golem Karrierewelt
  1. C++ Programmierung Grundlagen (keine Vorkenntnisse benötigt): virtueller Drei-Tage-Workshop
    07.-09.11.2022, virtuell
  2. Adobe Photoshop für Social Media Anwendungen: virtueller Zwei-Tage-Workshop
    24./25.08.2022, virtuell
Weitere IT-Trainings

Die Daten wurden allesamt in ungesicherten Amazon S3 Buckets vorgehalten und konnten einfach heruntergeladen werden. Ihren initialen Fund meldeten die beiden Sicherheitsforscher an 3somes, das kurze Zeit später alle AWS Buckets absicherte - auch die der anderen Apps. Die Sicherheitsforscher gehen daher davon aus, dass hinter den Apps die gleiche Firma steckt. Auch die Infrastruktur und das Design der Apps sowie deren Webseiten ähneln sich erheblich und verweisen teils aufeinander.

Immer wieder finden Sicherheitsforscher Daten in ungeschützten Buckets - obwohl Amazon bei der Freigabe eines Buckets mittlerweile deutlich auf die Sicherheitsprobleme hinweist. Erst Anfang des Jahres konnten Rotem und Locar ein besonders intimes Datenleck entdecken: Die Pornoseiten Pussycash und Imlive speicherten die Daten ihrer Models in einem ungeschützten Amazon S3 Bucket - inklusive Kopien von Ausweis, Pass oder Führerschein sowie Porträtfotos.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


mtr (golem.de) 18. Jun 2020

Hallo Sybok, Danke für die Anregung. Wir haben die Formulierung in "mindestens...

Solarix 17. Jun 2020

das dachte ich mir auch im ersten Moment.

Micha_T 17. Jun 2020

Das ist doch sicher nicht dsgvo bla was auch immer. Kann da mal jemand was weiter...

chefin 17. Jun 2020

Es gibt beides, Seriöse und unseriöse Portale. So wie es ehrliche...



Aktuell auf der Startseite von Golem.de
James Webb Space Telescope
Das Weltraumteleskop wird mit Javascript betrieben

Die in der Raumfahrt verwendete Software ist manchmal kurios. Im Fall des JWST wird das ISIM mit Javascript kontrolliert und betrieben.

James Webb Space Telescope: Das Weltraumteleskop wird mit Javascript betrieben
Artikel
  1. Betrug: Wenn die Phishing-Mail wirklich von Paypal kommt
    Betrug
    Wenn die Phishing-Mail wirklich von Paypal kommt

    Die E-Mail stammt von Paypals Servern und weist auf eine unter Paypal.com einsehbare Transaktion hin. Doch hinter E-Mail und Hotline stecken Betrüger.

  2. ADAC-Test: Elektroautos als Zugmaschinen - was bringt's?
    ADAC-Test
    Elektroautos als Zugmaschinen - was bringt's?

    Der ADAC hat den Stromverbrauch von Elektroautos mit Anhängern und Fahrradgepäckträgern gemessen. Gute Noten gibt es dabei keine.

  3. Botnetz: Google blockiert Rekord-DDoS-Angriff
    Botnetz
    Google blockiert Rekord-DDoS-Angriff

    Für einen Kunden konnte Google den größten HTTPS-basierten DDoS-Angriff mit 46 Millionen Anfragen pro Sekunde abwehren.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • MindStar (MSI RTX 3090 Gaming 1.269€, Seagate Festplatte ext. 18 TB 295€) • PS5-Deals (Uncharted Legacy of Thieves 15,38€, Horzizon FW 39,99€) • HP HyperX Gaming-Maus -51% • Alternate (Kingston Fury DDR5-6000 32GB 219,90€ statt 246€) • Samsung Galaxy S22+ 5G 128 GB 839,99€ [Werbung]
    •  /