Утечка AngelSense: под угрозой самые уязвимые

Что произошло

Представьте, что вы доверяете технологии, чтобы защитить своих самых уязвимых близких — возможно, вашего ребенка с аутизмом или родителя с деменцией. Эта технология сообщает вам, где они находятся, предупреждает, если они забрели в опасное место, и даже позволяет прослушивать окружение в экстренной ситуации. А теперь представьте, что та же самая технология оставила все эти конфиденциальные данные в интернете, без пароля, доступными для любого желающего. Именно с такой реальностью сегодня столкнулись пользователи AngelSense.

1 июня 2026 года исследовательская компания в области кибербезопасности UpGuard опубликовала отчет, в котором сообщила, что огромная база данных, принадлежащая AngelSense, производителю GPS-трекеров для людей с особыми потребностями, была полностью открыта и доступна. Исследователи UpGuard обнаружили, что используемая компанией база данных Elasticsearch была выставлена в открытый интернет без какого-либо пароля или аутентификации. Это означает, что не были приняты даже самые элементарные меры кибербезопасности. Не нужно было быть хакером, чтобы получить к ней доступ; любой, кто знал правильный адрес, мог легко получить доступ к самой личной информации тысяч пользователей.

AngelSense построила всю свою маркетинговую стратегию на безопасности и душевном спокойствии. Они продают семьям уверенность в том, что их близкие в безопасности. Однако эта утечка показала, насколько хрупким было это доверие. Самый ценный актив компании — данные ее пользователей — был так же незащищен, как книга, оставленная на полке в публичной библиотеке. Обнаружив ситуацию, UpGuard немедленно связалась с AngelSense, и компания защитила базу данных после получения предупреждения. Но остается вопрос: как долго эта дверь была открыта и кто прошел через нее, пока никто не смотрел?

Какие данные были раскрыты

Что отличает эту утечку от других, так это характер украденных данных. Это не просто очередная утечка электронных писем и паролей. Это нечто гораздо более личное, интимное и потенциально гораздо более опасное. В открытой базе данных содержалось:

• Информация о пользователях: Полные имена, адреса электронной почты, домашние и мобильные телефоны родителей и опекунов. Эта информация — золотая жила для мошенников и похитителей личных данных.
• Пароли в открытом виде: Возможно, это самая непростительная часть. Пароли, которые пользователи создавали для входа в свои учетные записи AngelSense, хранились без какого-либо шифрования, в виде простого текста. Это означает, что если ваш пароль был "password123", то и в базе данных он отображался как "password123". Учитывая, что многие люди используют одни и те же пароли на разных платформах, это ставит под угрозу не только их учетные записи AngelSense, но и всю их цифровую жизнь.
• Информация об устройстве: Уникальный идентификатор и серийный номер каждого GPS-устройства. Это может облегчить целенаправленную атаку на устройство конкретного человека.
• Данные о местоположении в реальном времени: Это, пожалуй, самый пугающий тип данных. Текущие координаты широты и долготы пользователей. Другими словами, точное местоположение человека с устройством в данный момент. Это позволило бы кому-то отслеживать каждое движение ребенка в школе, в парке или дома.
• Именованные места: Полные адреса и географические координаты мест, которые пользователи сохраняли в приложении, такие как "Дом", "Школа", "Работа", "Терапевт". Это создает полную картину распорядка дня человека, мест, где он проводит время, и всего его образа жизни.
• Оповещения и сигналы тревоги: Журнал всех автоматических оповещений, таких как "Покинул школу", "Прибыл домой" или "Неожиданная остановка". Это дает возможность анализировать модели передвижения человека и любые отклонения от его рутины.
• Аудиозаписи: Устройства AngelSense имеют функцию "прослушивания" (listen-in), которая позволяет опекунам прослушивать окружение устройства в экстренной ситуации. В утекшей базе данных содержались ссылки на аудиофайлы, записанные во время этих сеансов. Это означает, что частные разговоры, урок ребенка в классе или беседа взрослого с врачом могли быть перехвачены третьими лицами. Это глубочайшее нарушение конфиденциальности на самом фундаментальном уровне.

Как произошла атака

Речь идет не о сложной хакерской операции или кибератаке, спонсируемой государством. Реальность гораздо проще и оттого еще более удручающая: халатность. AngelSense использовала Elasticsearch, популярную технологию баз данных, для хранения данных клиентов. Эти базы данных достаточно безопасны при правильной настройке. Но есть золотое правило: база данных, доступная из интернета, должна иметь пароль и контроль доступа.

По-видимому, AngelSense пренебрегла этим самым основным правилом. База данных была настроена таким образом, что любой человек в интернете мог получить к ней доступ без какого-либо специального программного обеспечения или навыков. Исследователи из UpGuard обнаружили этот открытый сервер, сканируя интернет с помощью своих инструментов. Это было так же просто, как войти в дом с настежь открытой дверью и табличкой "Внутри ценные вещи". Злоумышленники могли найти эту базу данных и скопировать все данные в течение нескольких дней или даже недель. Пока компания не защитила ее, эта дверь оставалась открытой, и неизвестно, кто входил и выходил.

Кто пострадал

Целью этой утечки стали одни из самых уязвимых членов общества. Устройства AngelSense часто используются людьми с аутизмом, синдромом Аспергера, деменцией, болезнью Альцгеймера и другими когнитивными или developmental различиями. Эти люди и их семьи полагаются на эту технологию для обеспечения своей безопасности и снижения риска потеряться.

Пострадали не только люди, носящие устройства, но и их семьи, опекуны и попечители. Эта утечка дает злоумышленникам невероятную власть. Знание точного маршрута, по которому ребенок идет домой из школы, или в какое время он каждый день играет в парке, дает ужасающее преимущество для потенциального похитителя. Знание, где живет пожилой человек с деменцией и когда он один, делает его легкой мишенью для мошенничества или кражи. Утекшие аудиозаписи могут быть использованы для шантажа, помимо нарушения семейной конфиденциальности. Продукт, который семьи покупали для "безопасности", превратился в их самый большой кошмар безопасности.

Что вы можете сделать

Если вы являетесь или являлись пользователем AngelSense, вам необходимо предпринять немедленные шаги. Вам нужно нечто большее, чем классический совет "смените пароль". Ситуация серьезная.

• Смените все свои пароли, а не только для AngelSense: Поскольку ваш пароль утек в открытом виде, вы должны немедленно сменить пароль на каждой онлайн-учетной записи, где вы его использовали (электронная почта, социальные сети, банковские приложения). Злоумышленники регулярно проверяют комбинации email-пароль из таких утечек на других крупных платформах. Это самый срочный шаг.
• Проверьте информацию в своей учетной записи AngelSense: Войдите в свою учетную запись и проверьте точность сохраненных местоположений, таких как "Дом" и "Школа". Видите ли вы какие-либо незнакомые места или оповещения? Были ли внесены какие-либо изменения в настройки вашей учетной записи, номер телефона или адрес электронной почты? Убедитесь, что вы по-прежнему полностью контролируете свою учетную запись.
• Будьте бдительны в отношении фишинга и мошенничества: Злоумышленники теперь знают ваше имя, email, номер телефона и то, что вы используете AngelSense. Они могут отправлять вам очень убедительные поддельные электронные письма или текстовые сообщения, якобы от "Службы поддержки AngelSense", по поводу утечки. Они могут попросить вас перейти по ссылке или предоставить дополнительную информацию. Не доверяйте никаким подозрительным сообщениям. Если вам нужно связаться с компанией, делайте это напрямую через их официальный сайт.
• Требуйте ответов от компании: Не довольствуйтесь общим пресс-релизом AngelSense. Как клиент, вы имеете право точно знать, какие именно ваши данные или данные вашего близкого были раскрыты. Напишите им по электронной почте или позвоните в службу поддержки и спросите, как именно эта утечка затронула вашу учетную запись и какие дополнительные шаги они предпринимают для защиты ваших данных.
• Пересмотрите использование функции прослушивания: Тот факт, что аудиозаписи утекли, показывает, какой огромный риск для конфиденциальности представляет эта функция. Действительно ли вам нужно ее использовать? Превышает ли ее польза потенциальный риск? Возможно, отключение этой функции может смягчить последствия потенциальной будущей утечки.

Что говорит компания

Согласно отчету UpGuard, AngelSense быстро отреагировала после уведомления об утечке и защитила открытую базу данных. В публичном заявлении компания подтвердила, что исследователь безопасности предупредил их об ошибке конфигурации. В заявлении говорилось: "Безопасность и конфиденциальность наших пользователей — наш высший приоритет. Мы немедленно закрыли несанкционированный доступ к базе данных и начали внутреннее расследование для определения масштабов инцидента. Мы напрямую связываемся со всеми пользователями, которые могли быть затронуты. Мы глубоко сожалеем об этом инциденте и работаем над дальнейшим укреплением наших систем". Однако это заявление оставляет без ответа критические вопросы, например, как долго данные были открыты и были ли они доступны злоумышленникам в течение этого времени.

Источник

https://www.upguard.com/breaches/angelsense-data-leak