Datenleck bei mSpy: Millionen von Stalkerware-Nutzern enttarnt

MÜNCHEN (IT BOLTWISE) – Ein massives Datenleck bei der Überwachungs-App mSpy hat Millionen von Kunden enttarnt, darunter US-Militärs und Richter. Der Vorfall zeigt erneut die Sicherheitslücken bei der beliebten Stalkerware.

Der Anbieter der Überwachungs-App mSpy hat zum wiederholten Male mit einem massiven Datenabfluss zu kämpfen. Das mehrere hundert Gigabyte umfassende Leck enttarnte mehrere Millionen von Nutzern aus Europa, Indien, Japan sowie Nord- und Südamerika, die während der vergangenen zehn Jahre einen Zugang zu der kommerziell verfügbaren Spyware erworben hatten. Laut Berichten von TechCrunch hat das Onlinemagazin die von “unbekannten Angreifern” erbeuteten sensiblen Informationen unabhängig eingesehen. Im Mai 2024 sollen Millionen von Kundensupport-Tickets von mSpy gestohlen worden sein, darunter Namen, E-Mails an den Support und Anhänge mit persönlichen Dokumenten zur Identifikation. Dies macht deutlich, wer Dritte mithilfe der Anwendung beschatten wollte.

mSpy protokolliert unter anderem besuchte Webseiten, SMS, E-Mails und Kalendereinträge. Zielpersonen lassen sich per GPS orten. Die Premium-Version schlägt sogar automatisch Alarm, wenn das ausgespähte Gerät einen bestimmten Bewegungsradius verlässt.

Lange war unklar, wer hinter der App steckt. Laut dem Bericht ist anhand der kompromittierten Daten nun klar, dass es sich bei dem Betreiber und Eigentümer um die ukrainische Firma Brainstack handelt. Diese bewirbt mSpy auf einer deutschen Vermarktungsseite als “beste Mobiltelefonverfolgung für die Kindersicherung”. Kunden erlangten für eine geringe Abogebühr ihren “Seelenfrieden” zurück und bräuchten nachts nicht mehr wach liegen. Solche Apps gelten aber vor allem als Stalkerware, da gerade eifersüchtige Partner sie verwenden, um ihre bessere Hälfte ohne Zustimmung zu überwachen.

Das Datenleck umfasst laut TechCrunch Aufzeichnungen aus dem Zendesk-gestützten Kunden-Supportsystem des Spyware-Herstellers, die bis 2014 zurückreichen. Einige dieser E-Mails und Nachrichten enthielten Anfragen von mehreren hochrangigen Angehörigen des US-Militärs, einem amtierenden Richter eines US-Bundesberufungsgerichts, einer Aufsichtsbehörde eines US-Ministeriums und dem Büro des Sheriffs eines Bezirks in Arkansas. Teils handelte es sich dabei um Anfragen für eine kostenlose Lizenz zum Testen der App. Die Gesamtzahl der mSpy-Nutzer dürfte deutlich höher liegen, da sich nicht alle an den Kundendienst wandten. Potenziell Betroffene können über die Plattform Have I Been Pwned abfragen, ob Ihre E-Mail-Adresse Teil der Datenschutzverletzung ist.

Schon 2015 teilten Unbekannte im Dark Web mehrere hundert Gigabyte an persönlichen Daten von mSpy-Kunden sowie ihrer Opfer. 2018 gab es einen weiteren Bericht, dass Millionen vertraulicher Daten aus dem Überwachungsdienst online geleakt worden seien, darunter Passwörter, Anrufprotokolle, Textnachrichten, Kontakte, Notizen und Standortdaten. Es ist unklar, inwieweit es sich bei der neuen Panne um Informationen jüngeren Datums handelt und wie groß deren Anteil ist.