Une entreprise de logiciels espions peu connue, basée au Minnesota, a été victime d’une cyberattaque, révélant des milliers d’appareils dans le monde entier sous sa surveillance discrète.
Une source informée de la violation a fourni à TechCrunch un ensemble de fichiers extraits des serveurs de l’entreprise, contenant des journaux d’activité détaillés des appareils, y compris des téléphones, des tablettes et des ordinateurs que Spytech surveille, certains fichiers étant datés de début juin.
TechCrunch a vérifié l’authenticité des données en analysant certains des journaux d’activité des appareils exfiltrés, qui concernent le directeur général de l’entreprise, ayant installé le logiciel espion sur l’un de ses propres appareils.
Les données révèlent que les logiciels espions de Spytech — Realtime-Spy et SpyAgent, entre autres — ont été utilisés pour compromettre plus de 10 000 appareils depuis les premiers enregistrements divulgués datant de 2013, incluant des appareils Android, des Chromebooks, des Macs et des PC Windows à l’échelle mondiale.
Spytech est le dernier fabricant de logiciels espions à avoir été compromis ces dernières années, et c’est le quatrième à avoir été piraté cette année, selon le décompte en cours de TechCrunch.
Contacté pour un commentaire, le directeur général de Spytech, Nathan Polencheck, a déclaré que l’email de TechCrunch « était la première fois que j’entendais parler de cette violation et je n’ai pas vu les données que vous avez vues, donc pour l’instant, tout ce que je peux dire, c’est que j’enquête sur tout cela et que je prendrai les mesures appropriées. »
Spytech développe des applications d’accès à distance, souvent qualifiées de « stalkerware », qui sont vendues sous prétexte de permettre aux parents de surveiller les activités de leurs enfants, mais qui sont également commercialisées pour espionner les appareils des conjoints et des partenaires domestiques. Le site web de Spytech fait ouvertement la promotion de ses produits pour la surveillance des conjoints, promettant de « garder un œil sur le comportement suspect de votre partenaire. »
Bien que surveiller l’activité des enfants ou des employés ne soit pas illégal, surveiller un appareil sans le consentement de son propriétaire est illégal, et les opérateurs de logiciels espions ainsi que leurs clients ont été poursuivis pour la vente et l’utilisation de ces logiciels.
Les applications de stalkerware sont généralement installées par une personne ayant accès physique à l’appareil d’une personne, souvent avec connaissance de son code d’accès. Par nature, ces applications peuvent rester cachées et sont difficiles à détecter et à supprimer. Une fois installés, les logiciels espions envoient des frappes au clavier, des interactions d’écran, l’historique de navigation, l’utilisation de l’appareil et, dans le cas des appareils Android, des données de localisation détaillées à un tableau de bord contrôlé par la personne ayant installé l’application.
Les données compromises, examinées par TechCrunch, contiennent des journaux de tous les appareils sous le contrôle de Spytech, y compris des enregistrements de l’activité de chaque appareil. La majorité des appareils compromis par le logiciel espion sont des PC Windows, suivis dans une moindre mesure par des appareils Android, des Macs et des Chromebooks.
Les journaux d’activité des appareils que nous avons consultés n’étaient pas chiffrés.
TechCrunch a analysé les données de localisation provenant des centaines de téléphones Android compromis et a tracé les coordonnées dans un outil de cartographie hors ligne pour préserver la vie privée des victimes. Les données de localisation donnent une idée, bien que partielle, de l’emplacement d’une partie des victimes de Spytech.
Notre analyse des données uniquement mobiles montre que Spytech a d’importants clusters d’appareils surveillés à travers l’Europe et les États-Unis, ainsi que des appareils localisés en Afrique, en Asie, en Australie et au Moyen-Orient.
Un des enregistrements associés au compte administrateur de Polencheck inclut la géolocalisation précise de sa maison à Red Wing, Minnesota.
Bien que les données contiennent une multitude d’informations sensibles et personnelles obtenues à partir des appareils d’individus — dont certains n’ont aucune idée que leurs appareils sont surveillés — les données ne contiennent pas suffisamment d’informations identifiables sur chaque appareil compromis pour que TechCrunch puisse notifier les victimes de la violation.
Interrogé par TechCrunch, le PDG de Spytech n’a pas précisé si l’entreprise envisageait d’informer ses clients, les personnes dont les appareils ont été surveillés, ou les autorités étatiques américaines comme l’exigent les lois sur la notification des violations de données.
Un porte-parole du procureur général du Minnesota n’a pas répondu à une demande de commentaire.
Spytech existe depuis au moins 1998. L’entreprise a opéré largement dans l’ombre jusqu’en 2009, lorsqu’un homme de l’Ohio a été condamné pour avoir utilisé le logiciel espion de Spytech pour infecter les systèmes informatiques d’un hôpital pour enfants à proximité, ciblant le compte email de son ex-partenaire qui y travaillait.
Les médias locaux ont rapporté à l’époque, et TechCrunch a vérifié à partir des dossiers judiciaires, que le logiciel espion a infecté les systèmes de l’hôpital pour enfants dès que son ex-partenaire a ouvert le fichier joint contenant le logiciel espion, qui, selon les procureurs, a collecté des informations de santé sensibles. La personne ayant envoyé le logiciel espion a plaidé coupable d’interception illégale de communications électroniques.
Spytech est le deuxième fabricant de logiciels espions basé aux États-Unis à avoir subi une violation de données ces derniers mois. En mai, l’entreprise pcTattletale, basée au Michigan, a été piratée et son site web a été défiguré, l’entreprise ayant ensuite fermé et supprimé ses bases de données de données d’appareils victimes plutôt que d’informer les individus concernés.
Le service de notification des violations de données Have I Been Pwned a ensuite obtenu une copie des données compromises et a répertorié 138 000 clients comme ayant souscrit au service.
Si vous ou quelqu’un que vous connaissez a besoin d’aide, la ligne nationale contre la violence domestique (1-800-799-7233) offre un soutien gratuit et confidentiel 24/7 aux victimes de violence domestique. Si vous êtes dans une situation d’urgence, appelez le 911. La Coalition contre le Stalkerware dispose de ressources si vous pensez que votre téléphone a été compromis par un logiciel espion.
