«Защищая уязвимых»: утечка в AngelSense раскрыла данные тысяч клиентов

Компания AngelSense, специализирующаяся на технологии мониторинга местоположения для людей с ограниченными возможностями, допустила утечку конфиденциальных данных своих пользователей в открытый доступ. Как выяснил TechCrunch, информация включала личные данные, GPS-координаты и даже частичную информацию о банковских картах.

Уязвимость обнаружили специалисты по кибербезопасности из UpGuard, которые уведомили компанию о проблеме более недели назад. Однако AngelSense устранила проблему только в понедельник.

Компания предоставляет услуги мониторинга тысячам клиентов в США. Ее решения часто рекомендуют правоохранительные органы для обеспечения безопасности людей с аутизмом, деменцией и другими особенностями. Однако из-за ошибки в конфигурации сервер AngelSense оказался доступен без пароля, что позволяло любому человеку с IP-адресом базы данных получить к ней доступ.

По данным UpGuard, среди утекших сведений оказались:

• Имена, адреса и номера телефонов клиентов,
• GPS-координаты отслеживаемых лиц,
• Состояние здоровья пользователей (например, диагнозы),
• Email-адреса, пароли и токены доступа к аккаунтам,
• Частичная информация о кредитных картах.

Эксперты отмечают, что база данных могла находиться в открытом доступе с 14 января – именно тогда ее зафиксировал поисковик уязвимых систем Shodan. Однако точный срок утечки неизвестен.

Генеральный директор AngelSense Дорон Сомер заявил, что сервер был отключен сразу после звонка от UpGuard. Он признал, что компания проигнорировала первое уведомление, посчитав его спамом.

«Как только проблема была выявлена, мы незамедлительно приняли меры по проверке и устранению уязвимости», – сообщил Сомер.

В то же время он подчеркнул, что у AngelSense нет доказательств, что кто-то, кроме UpGuard, получил доступ к данным. Он также заявил, что утекшая информация «не является чувствительной», хотя среди данных находились медицинские диагнозы и платежные сведения.

AngelSense пока не сообщает, планирует ли компания уведомлять пострадавших пользователей. По словам Сомера, этот вопрос «еще расследуется».

Эксперты по безопасности предупреждают, что подобные утечки становятся все более частыми. Ранее аналогичные ошибки приводили к утечкам военных данных США, кодов двухфакторной аутентификации и переписок пользователей ИИ-чат-ботов.