簡介
根據Comparitech研究人員的報告，超過3億筆包含VPN用戶個人資訊的記錄在網路上曝光，且沒有密碼保護。資料顯示，4,500萬筆記錄包含使用者帳戶資訊，如電子郵件地址、全名和加密密碼。這起事件引發了廣泛關注，用戶的安全與隱私面臨嚴重威脅。
資料外洩的背景
數據擁有者
根據我們的調查， ActMobile Networks Inc似乎是這些資料的擁有者。該公司經營多個VPN服務，包括Dash VPN、FreeVPN.org和Dash Net Accelerated VPN等。然而，ActMobile在給Comparitech的電子郵件中否認了對此資料的所有權，稱其「並未維護資料庫」。
發現與報告
Comparitech的網路安全研究負責人Bob Diachenko於2021年10月8日發現了這項洩漏的資料庫，並根據我們的負責任揭露政策立即向ActMobile報告。該資料庫在一周後的10月15日關閉，但資料已在駭客論壇上洩露，增加了用戶受到攻擊的風險。
資料外洩的時間軸
- 2021年10月6日- 資料庫被搜尋引擎索引。
- 2021年10月8日- Diachenko發現洩漏數據，並立即通知ActMobile。
- 2021年10月15日- 資料庫關閉。
- 2021年11月1日- 資料在駭客論壇上外洩。
外洩的資料類型
資料分類
這份位於法國IP位址的MongoDB資料庫包含超過100GB的數據，可以分為以下三類：
- 用戶記錄（4500萬筆） ：
- 電子郵件地址
- 加密密碼
- 全名
- 使用者名稱
-
最後登入日期
-
用戶設備資訊記錄（2.81億筆） ：
- IP位址
- 國家代碼
- 連線類型（Wi-Fi或行動）
- 設備和使用者ID
-
加速器ID
-
購買記錄（600萬筆） ：
- 購買的產品
- 收據
此外，超過400萬條「APN令牌」也被曝光，儘管其具體用途尚不明確，可能與Apple推播通知服務或行動裝置的存取點名稱有關。
資料外洩的風險
雖然密碼是經過雜湊處理的，因此不應被輕易訪問，但我們建議所有用戶立即更改密碼。任何共享相同密碼的其他帳戶也應進行更改，以避免憑證填充攻擊。此外，盡可能啟用雙因素認證。
用戶應警惕來自ActMobile及其品牌或相關公司的針對性釣魚訊息。詐騙者可能會假冒這些組織，以誘使用戶點擊惡意連結或下載。請勿點擊任何未經請求的連結或附件。
如何保護隱私
我們建議重視隱私的VPN使用者選擇無日誌VPN。尤其是VPN收集的IP位址可能用於確認線上活動並追溯到單一使用者。 Comparitech推薦真正的零日誌VPN，這些VPN不會收集您的IP位址或裝置識別碼等資料。
結論
ActMobile Networks對Comparitech多次嘗試揭露的唯一回應是直接否認資料的擁有權，但根據我們調查的結果，ActMobile的主張並不成立。這次資料外洩事件再次提醒我們在選擇VPN服務時，請務必注意其隱私權政策和資料保護措施。
透過此事件，我們希望提高用戶對VPN資料安全的認識，並鼓勵他們採取必要的保護措施。
