Разработчики популярного приложения Ai.type, виртуальной клавиатуры, не смогли сохранить конфиденциальные данные своих клиентов. Сведения, содержащие адреса электронной почты, номера телефонов, информацию о местоположении, контакты и даже списки приложений оказались в открытом доступе.

Приложение Ai.type — это умная клавиатура, работающая под Android и iOS, она умеет различать стиль написания текстов и автоматически вставлять смайлики эмодзи. В описании ПО в плеймаркетах Google Play и App Store пользователей заверяют: «Ваша конфиденциальность заботит нас в первую очередь. Мы не передадим никому ваши данные и не попытаемся получить информацию из полей пароля. Текст останется зашифрованным и конфиденциальным». «Ваша конфиденциальность — наша главная забота. Вся информация локально хранится на iPhone».

Утечка произошла по причине нахождения сервера с личными данными пользователей без необходимых защитных мер со стороны разработчиков. Общий массив данных насчитывал 577 ГБ и мог быть скачан всеми желающими без пароля. В базе содержались личные данные (электронная почта, имена, номера телефонов, операторы мобильной связи, в отдельных случаях, IP-адрес и название интернет-провайдера), данные устройства (номера IMSI и IMEI, модель, разрешение экрана, версия операционной системы). Кроме персональных сведений в свободный доступ попали списки приложений, установленных у пользователей, использующих виртуальную клавиатуру Ai.type на своем мобильном устройстве. С большой долей вероятности в похищенной информации могли находиться пароли и логины от социальных сетей и банковских приложений, которые по сведениям ZDNet находились в похищенной базе.

Таким образом, заверения разработчиков Ai.type о защите личной информации пользователей не соответствуют действительности и являются прямым обманом.
Специалисты Центра безопасности Kromtech обнаружили открытую базу пользователей Ai.type, в том числе список из 10.7 млн адресов электронной почты, банк данных из 376 млн телефонных номеров, таблицу с более 8.6 млн текстовых записей, вводимых при помощи клавиатуры, в том числе личную информацию (телефонные номера, web-адреса, поисковые запросы, в некоторых случаях даже название электронной почты и пароль к ней). Пресс-служба Kromtech Security Center заявила, что это самая масштабная утечка данных: «Никто не ожидает, что его или её телефонная книга или данные, связанные с местоположением, будут представлены на всеобщее обозрение в интернете», — сказал Боб Дьяченко, руководитель отдела по связям с общественностью Kromtech.


Потеря данных произошла из-за отсутствия защиты сервера MongoDB. После оповещения компанией Kromtech Security Center разработчики Ai.type установили пароль для доступа в базу данных. В дальнейшем предусмотрено обновление для сервера MongoDB 3.6, запрещающее несанкционированный доступ к базе.

Источник: zdnet.com