An Archive of Our Own, a project of the Organization for Transformative Works

Welcome to Thinky Third Thursday, curated by Alan Hazelden of Draknek & Friends – a monthly roundup of thinky puzzle games that have caught my eye.

Хактивіст зібрав 536,000 платіжних записів клієнтів stalkerware-сервісів uMobix, Xnspy та Geofinder через вразливість на сайті постачальника.

A hacktivist has scraped more than half-a-million payment records from a provider of consumer-grade “stalkerware” phone surveillance apps, exposing the email addresses and partial payment information of customers who paid to spy on others.  The transactions contain records of payments for phone-tracking services like Geofinder and uMobix, as well as services like Peekviewer (formerly Glassagram), which purport to allow access to private Instagram accounts, among several other monitoring and tracking apps provided by the same vendor, a Ukrainian company called Struktura.

A hacktivist scraped payment records from apps including uMobix, Xnspy, and Geofinder, exposing emails and partial card details of buyers.

✨ Check out this insightful post from TechCrunch 📖 📂 **Category**: Security,cybersecurity,data breach,Exclusive,hacktivist,stalkerware,surveillance 📌 **What You’ll Learn**: A hacker has collected more than half a million payment records from a provider of consumer "stalkerware" phone monitoring apps, exposing email addresses and partial payment information of customers who paid to spy on others. The transactions contain records of payments to phone tracking services like Geofinder and uMobix, as well as services like Peekviewer (formerly Glasagram), which claims to allow access to private Instagram accounts, among many other monitoring and tracking apps offered by the same vendor, a Ukrainian company called Struktura.

A hacktivist has scraped more than half-a-million payment records from a provider of consumer-grade “stalkerware” phone surveillance apps, exposing the email addresses and partial payment information of customers who paid to spy on others.  The transactions contain records of payments for phone-tracking services like Geofinder and uMobix, as well as services like Peekviewer (formerly Glassagram), which purport to allow access to private Instagram accounts, among several other monitoring and tracking apps provided by the same vendor, a Ukrainian company called Struktura.

匿名のハクティビストが、ストーカーウェアアプリケーションのユーザーに属する50万件以上の決済記録を流出させた。第三者のデバイスやアカウントの不正監視を可能にするこれらのサービスは、データベースが侵害され、顧客のメールアドレスと部分的なクレジットカード情報が露呈した。 この流出には、Geofinder、uMobix、Peekviewer(旧Glassagramとして知られる)などのアプリケーションに関連する約536,000件の取引行が含まれている。これらのプラットフォームは、プライベートな通信、地理的位置情報、制限された個人のソーシャルメディアプロファイルへの秘密裏のアクセスを提供している。影響を受けたすべての製品は、調査活動によってErsten Groupとして特定された単一の親会社に由来し、ほぼ同一のデジタルストアフロントを持つ姉妹企業Strukturaと関係を持っている。 流出した記録には、購入者のメールアドレス、取得した特定のサービス、取引総額、カードタイプ、およびプライマリアカウント番号の下4桁が含まれている。取引のタイムスタンプは存在しないが、研究者たちは、メールアドレスを公開されているメールボックスと照合し、それぞれのプラットフォームでパスワード回復プロトコルを開始することで、データセットの真正性を検証した。さらに、流出内のアカウント識別子は、これらのサービスのチェックアウトページにおけるサーバー側の脆弱性によって露出したデータと一致していた。 このリポジトリには、秘密裏のモバイル監視のための悪名高いユーティリティであるXnspyの取引テレメトリも含まれていた。この特定のアプリケーションは、2022年に以前、AndroidおよびiPhoneデバイス両方からの情報を侵害する大規模なデータ侵害を被っていた。 wikkidという偽名で活動するこのアクティビストは、プロバイダーのウェブインフラストラクチャ内の初歩的な脆弱性を悪用することでデータが収集されたと主張した。彼は、個人のストーキングを促進するサービスをターゲットにする戦略的意図を明確に宣言した。結果として得られたデータベースは、著名な敵対的フォーラムで公開された。 インストールされると、このようなソフトウェアは、通話記録、メッセージ、写真、閲覧履歴、および正確なGPS座標を秘密裏のコントローラーに送信する。これらのサービスの多くは、配偶者や家庭内パートナーを監視する能力を公然と売り込んでいるが、これは多くの管轄区域においてプライバシー法規の違反を構成する行為である。 翻訳元:

ハクティビスト「wikkid」がStrukturaのウェブサイトのバグを悪用し、顧客記録53万6,000件を盗み出した データには氏名、メールアドレス、購入情報、支払い日を除くクレジットカード情報の一部が含まれていた 流出によりGeofinder、uMobix、Peekviewerなどの消費者向けスパイウェア業者が露呈し、ハッキングフォーラムに投稿された 消費者向けストーカーウェア開発企業がハクティビストの攻撃を受け、50万人超の氏名、メールアドレス、クレジットカード情報の一部が流出した。 今月初め、別名「wikkid」を名乗るハッカーが、Strukturaという企業のウェブサイトを標的にした。同社はウクライナのソフトウェア企業で、Geofinder、uMobix、Peekviewerなど複数の電話追跡サービスの背後にあるとされている。TechCrunchに対し、Strukturaのウェブサイトに「些細な」バグを発見し、それによってベンダーからデータをスクレイピングできたと述べた。 合計で、ハクティビストは顧客のメールアドレス、購入したアプリまたはブランド、支払額、使用した決済カード（VisaまたはMastercard）、カード番号の下4桁を含む53万6,000行を取得した。支払い日付はアーカイブ内に見つからなかった。 スパイウェア業者を標的にする「楽しさ」 同媒体は、公開メールアドレスに紐づくアカウントでパスワードリセットを実行したこと、さらに各取引の固有の請求書番号を監視ベンダーの決済ページと照合したことにより、データの真正性を確認できたという。「決済ページでは、パスワードがなくてもサーバーから同じ顧客データと取引データを取得できたため、これが可能だった」と同媒体は説明している。 Wikkidは「人をスパイするために使われるアプリを標的にするのは楽しかった」と述べ、アーカイブを人気のハッキングフォーラムに投稿したという。そこで彼らはベンダーをErsten Groupとして掲載しており、同社は英国のソフトウェア開発スタートアップだと説明されている。 現時点で、Strukturaの関係者はこの事件について公式な声明を出していない。 消費者向けのスパイウェア（配偶者監視アプリ、spousewareとも呼ばれる）とは、ユーザーが購入し、配偶者やパートナー、子ども、その他関心のある人物のモバイル端末に密かにインストールできるソフトウェア（主にモバイルアプリ）である。 開発者はしばしば、子どもや特別な支援を必要とする人の見守りを目的としたセキュリティアプリとして宣伝する。しかし、これらはほとんどの場合、限りなく合法すれすれのスパイ行為を覆い隠す口実にすぎない。 翻訳元:

A hacktivist has scraped more than half-a-million payment records from a provider of consumer-grade “stalkerware” phone surveillance apps, exposing the email addresses and partial payment information of customers who paid to spy on others.  The transactions contain records of payments for phone tracking services like Geofinder and uMobix, as well as services like Peekviewer (formerly Glassagram), which purport to allow access to private Instagram accounts, among several other monitoring and tracking apps provided by the same vendor, a Ukrainian company called Struktura.