L’application de messagerie JusTalk renverse des millions de messages non chiffrés – TechCrunch
La populaire application d’appel vidéo et de messagerie JusTalk prétend être sécurisée et cryptée. Mais une vulnérabilité a prouvé que l’application n’était ni sécurisée ni cryptée après la découverte en ligne d’un énorme cache de messages privés non cryptés d’utilisateurs.
L’application de messagerie est largement utilisée dans toute l’Asie et a une audience internationale florissante avec 20 millions d’utilisateurs dans le monde. Listes de lecture Google JustTalk EnfantsDécrit comme la version adaptée aux enfants et compatible de son application de messagerie, il compte plus d’un million de téléchargements pour Android.
JusTalk indique que ses deux applications sont cryptées de bout en bout – seules les personnes impliquées dans la conversation peuvent lire ses messages – et il se vante sur son site Web que « seuls vous et la personne avec qui vous communiquez pouvez voir, lire ou écouter pour que l’équipe JusTalk n’ait pas accès à Vos données ! »
Mais un examen massif du cache de données interne, vu par TechCrunch, prouve que ces affirmations sont incorrectes. Les données comprennent des millions de messages d’utilisateurs JusTalk, ainsi que la date et l’heure exactes auxquelles ils ont été envoyés et les numéros de téléphone de l’expéditeur et du destinataire. Les données contenaient également des journaux d’appels effectués à l’aide de l’application.
chercheur en sécurité Anurag Singh J’ai trouvé les données cette semaine et j’ai demandé à TechCrunch de les signaler à l’entreprise. Juphoon, la société cloud basée en Chine derrière l’application de messagerie, a déclaré avoir lancé le service en 2016 et est désormais détenue et exploitée par Ningbo Jus, une société qui semble être Partager Même bureau que celui indiqué sur le site Web de Juphoon. Mais malgré de multiples efforts pour joindre le fondateur de JusTalk, Leo Lv, et d’autres dirigeants, nos e-mails n’ont pas été reconnus ou renvoyés, et la société n’a montré aucune tentative pour remédier à la fuite. Un message texte sur le téléphone de Lv a été signalé comme livré mais pas lu.
Étant donné que chaque message enregistré dans les données contenait tous les numéros de téléphone dans le même chat, il était possible de suivre des conversations entières, y compris des enfants qui utilisaient l’application JusTalk Kids pour discuter avec leurs parents.
Les données internes comprenaient également les emplacements exacts de milliers d’utilisateurs collectés à partir des téléphones des utilisateurs, avec de grands groupes d’utilisateurs aux États-Unis, au Royaume-Uni, en Inde, en Arabie saoudite, en Thaïlande et en Chine continentale.
Selon Sen, les données contenaient également des journaux d’une troisième application, JusTalk 2e numéro de téléphone, qui permet aux utilisateurs de créer des numéros de téléphone virtuels éphémères à utiliser au lieu de donner leur propre numéro de téléphone mobile. Un examen de certains de ces enregistrements révèle le numéro de téléphone portable de l’utilisateur ainsi que chaque numéro de téléphone éphémère créé.
Nous ne divulguons pas où ni comment les données ont été obtenues, mais soutenons la divulgation publique après avoir trouvé des preuves que Sen n’était pas le seul à découvrir les données.
Il s’agit de la dernière d’une série de fuites de données en Chine. en avance ce mois-ci Une base de données massive de près d’un milliard de citoyens chinois a été extraite de la base de données de la police de Shanghai stockée dans le cloud d’Alibaba et une partie des données a été publiée en ligne. Pékin n’a pas encore commenté publiquement la fuite, mais des références à la violation ont été diffusées sur les réseaux sociaux Censure étendue.
