Vice gebruikte de BlackVue dashcam-app om de locatiegegevens van gebruikers in realtime bij te houden

Uit een rapport blijkt dat gps-locatiegegevens van de dashcam-app BlackVue beschikbaar waren dagen of zelfs weken in realtime bekeken en opgeslagen, wat een aanzienlijk beveiligingslek in de app.

Zoals onthuld door Moederbord, De technische tak van Vice, vermeldt het rapport:

BlackVue heeft een app die de locatie laat zien van stuurprogramma's die zich aanmelden. De makers zeggen dat het niet mogelijk zou moeten zijn om de gebruikers in bulk te volgen; we vonden anders ...

BlackVue is een dashcam-bedrijf met een eigen sociaal netwerk. Met een kleine, met internet verbonden dashcam die in hun auto is geïnstalleerd, kunnen BlackVue-gebruikers waarschuwingen ontvangen wanneer hun camera een ongebruikelijke gebeurtenis detecteert, zoals een botsing met hun geparkeerde auto. Klanten kunnen anderen ook toestaan ​​af te stemmen op de feed van hun camera, waardoor anderen "plaatsvervangend" ervaar de opwinding en het plezier van autorijden over de hele wereld, "een bericht weergegeven in de app leest.

Het rapport vermeldt vervolgens:

Maar wat de app van BlackVue niet duidelijk maakt, is dat het mogelijk is om de gps-locaties van gebruikers in realtime dagen of zelfs weken op te halen en op te slaan. Motherboard kon de bewegingen van enkele klanten van BlackVue in de Verenigde Staten volgen.

Met BlackVue kan iedereen een account op zijn website maken om live-uitzendingen te bekijken. Live-uitzending is niet standaard ingeschakeld, het is een opt-in-functie. Volgens BlackVue maakt een "klein deel" van het totale klantenbestand van BlackVue gebruik van de functie. Omroepgebruikers worden weergegeven op een kaart en u kunt in realtime op de feed afstemmen. De beschikbare feeds worden weergegeven op een kaart voor selectie, waar het interessant begint te worden. Volgens moederbord:

Maar de feitelijke GPS-gegevens die de kaart aandrijven, zijn beschikbaar en openbaar toegankelijk... Door reverse-engineering van de iOS-versie van de BlackVue-app, kon Motherboard scripts schrijven die de GPS ophalen locatie van BlackVue-gebruikers gedurende een week en slaan de coördinaten en andere informatie op, zoals die van de gebruiker uniek identifier. Eén script kon elke twee minuten de locatiegegevens verzamelen van elke BlackVue-gebruiker die mapping had ingeschakeld in de oostelijke helft van de Verenigde Staten. Motherboard verzamelde gegevens over tientallen klanten.

Een BlackVue-woordvoerder zei dat "het verzamelen van GPS-coördinaten van meerdere gebruikers over een langere periode niet mogelijk zou zijn", en in een gesprek met Motherboard zei hij:

"Onze ontwikkelaars hebben de beveiligingsmaatregelen bijgewerkt naar aanleiding van uw rapport van gisteren dat ik heb doorgestuurd."

Motherboard merkt op dat verschillende webverzoeken die eerder gebruikersgegevens hadden verstrekt, niet langer functioneel waren. Gelukkig is het probleem gemarkeerd en opgelost. Maar tot nu toe lijkt het erop dat BlackVue-klanten die ervoor hadden gekozen om hun feeds uit te zenden, misschien wel meer hebben gekregen dan ze hadden verwacht.