Содержание
Утечка данных FTF Live затронула 22 млн записей сессий и 3,47 млн пользователей с именами, email или похожими идентификаторами. Для сервиса анонимных видеочатов это особенно болезненная история: люди приходят туда за приватностью, а не за цифровым следом с IP, устройством и платежными метками.
Проблему нашли исследователи Cybernews. По их данным, платформа открыла наружу панель Kibana из-за ошибки конфигурации. Через нее можно было смотреть большой массив служебных данных по сессиям и пользователям.
Открытая Kibana показала 22 млн сессий FTF Live
Исследователи описывают не взлом в голливудском смысле, а классическую инженерную ошибку: внутренний инструмент аналитики оказался доступен извне. В таких случаях злоумышленнику не нужен эксплойт уровня ядра — хватает браузера, терпения и понимания, где искать чувствительные поля.
В открытой панели нашли 3,47 млн записей с именами пользователей, email-адресами или близкими идентификаторами. В базе также лежали метаданные, которые помогают связать аккаунт с реальным человеком.
- Сессии: 22 млн записей о взаимодействиях пользователей
- Идентификаторы: 3,47 млн имен, email или похожих полей
- Устройства: данные о девайсах и клиентском окружении
- География: IP-адреса, страна и язык
- Платежи: платежная информация в составе метаданных
- Профиль: указанный пользователем пол и другие служебные поля
Сырые видеозаписи разговоров, по данным исследователей, в утечку не попали. Но это слабое утешение. Для анонимного видеочата опасна не только запись экрана. Опасен набор мелких признаков, который складывается в узнаваемый профиль.
FTF Live продвигает приватность и безопасность как часть сервиса. При этом формат платформы часто подразумевает личные, интимные или просто чувствительные разговоры с незнакомыми людьми. Поэтому утечка IP, языка, страны и платежных маркеров бьет сильнее, чем в условном погодном приложении.
Dozzle открыл логи, токены и внутренние запросы
Вторая проблема оказалась не менее неприятной: наружу смотрел экземпляр Dozzle, браузерного просмотрщика логов. Через него исследователи увидели работу бэкенда, включая служебные запросы, токены сессий и пароли в открытом виде.
Dozzle сам по себе не вредный инструмент. Разработчики используют такие панели, чтобы быстро смотреть логи контейнеров и искать ошибки. Но если оставить доступ без защиты, внутренняя кухня сервиса превращается в витрину.
Cybernews описывает связку публичных Kibana и Dozzle как тяжелый риск. Цитата исследователей короткая и точная: «Комбинация публичных экземпляров Kibana и Dozzle создает серьезный риск безопасности».
Через такие логи можно понять, как устроен сервис изнутри. В худшем сценарии это помогает перехватывать аккаунты, подбирать атаки на API или строить точечные схемы мошенничества. Для пользователей анонимного чата это уже не абстрактная утечка базы, а риск преследования и шантажа.
Владелец FTF Live пока не ответил исследователям
Cybernews пыталась связаться с владельцами платформы, но ответа не получила. Исследователей отдельно насторожила структура владения: снятое Android-приложение публиковали под именем Burhan LTD, политика приватности указывает кипрскую Cooy Ads Ltd, а контролер данных, поддержка и брендинг связаны с названием Pixover.
Такая путаница мешает быстро понять, кто отвечает за обработку данных. А при инциденте счет идет не на красивые пресс-релизы. Пользователям и исследователям нужен понятный контакт, сроки устранения и публичное описание риска.
Длительность открытого доступа пока не установили. Это ключевой пробел: одно дело, если панель торчала наружу несколько часов, и совсем другое — если ее индексировали или просматривали неделями. Компания пока не дала публичного объяснения по срокам.
Для обычного пользователя здесь главный урок простой, но неприятный. Слово «анонимный» в названии сервиса не гарантирует анонимность. Ее доказывают архитектура, минимизация логов и дисциплина эксплуатации, а не маркетинговая строка на сайте.
Cybernews сформулировала риск так: «Утечка превращает то, что многие считают анонимным и одноразовым взаимодействием, в хорошо отслеживаемый цифровой след».
