Set 28, 2021 Marco Schiaffino In evidenza, News, Privacy, RSS, Vulnerabilità 0

L’azienda, che offre un software per spiare in remoto l’attività su smartphone, ha lasciato i contenuti disponibili per chiunque su Internet.

Non è solo un fenomeno lesivo della privacy di chi ne finisce vittima: spesso quello degli stalkerware è un problema più ampio, che rischia di esporre in maniera indiscriminata i dati sensibili di chi è sottoposto a questa subdola forma di “sorveglianza”.

Il caso di pcTattletale, azienda che ha avuto addirittura il coraggio di pubblicizzare i suoi prodotti su YouTube descrivendoli come uno strumento per “scoprire se il tuo partner ti tradisce”, è la migliore dimostrazione del livello di violazione della privacy a cui si può arrivare a causa degli stalkerware.

L’azienda non solo fornisce un software di spionaggio che viene promosso esplicitamente come uno strumento per controllare le attività di un congiunto, cosa che di per sé sarebbe sufficiente per censurarne il commercio. Come riporta il ricercatore di sicurezza Lukas Stefanko, il suo sistema di spionaggio espone informazioni personali a chiunque sul Web.

Android version of pcTattleTale #stalkerware keeps stored and accessible screenshots taken from victims device on their server without authorization to anyone, even when stalker deletes the account.
However, accessing them because of timestamps in URI might be slightly difficult https://t.co/kJMNdowF7R pic.twitter.com/cLQ7jUXPeP

— Lukas Stefanko (@LukasStefanko) September 23, 2021

Nel dettaglio, il sistema messo a punto da pcTattletale, sfrutterebbe la creazione di filmati in cui vengono registrati gli screenshot del telefono Android sottoposto a sorveglianza, che poi vengono messi a disposizione dell’utente (lo stalker) sotto forma di semplici URL che puntano a un server AWS.

Peccato che l’indirizzo per il collegamento venga creato attraverso una formula fissa, che utilizza l’identificativo del telefono e un marcatore temporale, ma la cui visualizzazione non è subordinata ad alcuna forma di autenticazione.

Insomma, non solo pcTattletale fornisce un servizio presumibilmente illegale, ma non tutela in alcun modo i contenuti sottratti alle vittime di spionaggio, che sono potenzialmente visualizzabili da chiunque.

Peggio ancora: tutto il materiale rimarrebbe sui server anche dopo la cancellazione dell’account da parte dello stalker.

Un ennesimo caso che evidenzia il problema legato alla diffusione di questo tipo di applicazioni, la cui proliferazione è stata recentemente censurata negli Stati Uniti dalla Federal Trade Commission.