Собирающая данные о местоположении американцев компания стала жертвой взлома

Хакер взломал серверы компании Securus, оказывающей услуги, позволяющие правоохранительным органам США с легкость отслеживать практически каждый телефон в любой точке страны. Злоумышленнику удалось похитить множество важных данных, в том числе логины и пароли тысяч клиентов Securus из правоохранительных органов. Часть данных хакер передал журналистам издания Motherboard на условиях анонимности.

Как ранее сообщал SecurityLab, в США активно идут обсуждения касательно деятельности так называемых «агрегаторов местоположения» - компаний, покупающих у операторов связи данные о местоположении клиентов, и впоследствии продающих их различным заинтересованным лицам, в том числе представителям правоохранительных органов. По сути, данные фирмы нашли лазейку в "Законе о защите электронных средств связи" (Electronic Communications Privacy Act), который запрещает телекоммуникационным компаниям раскрывать данные правительству, однако это не касается других частных предприятий, которые затем могут раскрыть эти же данные представителям власти. Securus активно участвовала в организации данной деятельности, однако, действия компании вызвали общественный резонанс после того, как она при посредничестве фирмы LocationSmart помогла бывшему полицейскому шерифу следить за перемещениями телефона одного из граждан без соответствующего ордера.

Взломавший Securus хакер предоставил журналистам несколько внутренних файлов компании. В частности, в руки сотрудников Motherboard попал фрагмент базы данных, озаглавленный «Полиция». Документ включает более 2,8 тыс. имен пользователей, адресов электронной почты, номеров телефонов, хешей паролей и проверочных вопросов пользователей Securus. Таблица охватывает период с 2011 года по 2018 год.

Помимо этого, использовавшиеся компанией хеши были созданы с помощью ненадежного алгоритма MD5, что позволяет легко дешифровать пароли пользователей. Журналисты подтвердили подлинность полученных данных с помощью функции восстановления забытого пароля на сайте Secururs.

По словам взломавшего сеть компании хакера, проникнуть в системы Securus было сравнительно несложно, однако издание не стало раскрывать подробности данного процесса.