Datos de stalkerware de Struktura expuestos en una brecha de hacktivistas

Un hacktivista que opera bajo el seudónimo “wikkid” ha extraído más de medio millón de registros de pago de un proveedor de aplicaciones de vigilancia telefónica para consumidores, comúnmente conocidas como “stalkerware”. La brecha expuso los registros de pago de más de 500,000 clientes, revelando las direcciones de correo electrónico y la información de pago parcial de personas que pagaron para espiar a otros. El hacktivista, quien posteriormente publicó los datos extraídos en un conocido foro de hacking, dijo a TechCrunch que “se divierte atacando aplicaciones que se utilizan para espiar a las personas”.

El conjunto de datos filtrado contiene alrededor de 536,000 líneas de direcciones de correo electrónico de clientes, junto con registros de transacciones de varios servicios de monitoreo y rastreo. Estas transacciones incluyen pagos por servicios de rastreo telefónico como Geofinder y uMobix, así como Peekviewer, que pretende permitir el acceso a cuentas privadas de Instagram. Estos servicios se encuentran entre varias aplicaciones de monitoreo y rastreo proporcionadas por el mismo proveedor, una empresa ucraniana llamada Struktura. Los datos de los clientes también incluyen registros de transacciones de Xnspy, una conocida aplicación de vigilancia telefónica que filtró datos privados de dispositivos de personas desprevenidas en 2022. Aunque el conjunto de datos expone direcciones de correo electrónico y detalles de pago parciales, los registros de los clientes no incluían las fechas de los pagos.

El listado del foro de hacking identifica al proveedor de vigilancia como Ersten Group, que se presenta como una startup de desarrollo de software con sede en el Reino Unido. Sin embargo, varias direcciones de correo electrónico en el conjunto de datos utilizadas para pruebas y atención al cliente hacen referencia a Struktura, que tiene un sitio web idéntico al de Ersten Group. El registro más antiguo en el conjunto de datos contenía la dirección de correo electrónico de la directora ejecutiva de Struktura, Viktoriia Zosim, para una transacción de USD 1. Los representantes de Ersten Group no respondieron a las solicitudes de comentarios, y Zosim, de Struktura, no respondió a una solicitud de comentarios.

Aplicaciones como uMobix y Xnspy han comercializado explícitamente sus servicios para que las personas espíen a sus cónyuges y parejas sentimentales, lo cual es ilegal. Una vez instaladas en el teléfono de un objetivo, estas aplicaciones cargan datos privados —incluidos registros de llamadas, mensajes de texto, fotos, historial de navegación y datos de ubicación precisos— a la persona que instaló el software. Este incidente es el ejemplo más reciente de un proveedor de vigilancia que expone información de clientes debido a fallas de seguridad, lo que destaca la “seguridad cibernética deficiente” que es común entre los operadores de stalkerware.

Por qué importa

Este incidente destaca los riesgos de seguridad inherentes a la industria del stalkerware, donde los proveedores que facilitan la vigilancia ilegal a menudo no logran proteger los mismos datos que recopilan de sus propios clientes. A medida que las fallas de seguridad continúan exponiendo datos confidenciales de usuarios y clientes, la brecha subraya las vulnerabilidades sistémicas de las operaciones de vigilancia para consumidores.