Het bedrijf achter een slimme teddybeer die kinderen de mogelijkheid geeft om berichten op te nemen en naar anderen door te sturen, heeft 2,2 miljoen opgenomen berichten op internet gelekt. Het gaat om de teddyberen van speelgoedfabrikant CloudPets, dat onderdeel van Spiral Toys is.

Kinderen kunnen via de teddybeer berichten naar bijvoorbeeld hun ouders sturen. Ouders kunnen via de CloudPets-app hier weer op antwoorden. Deze berichten werden echter in een onbeveiligde MongoDB-database opgeslagen waar ze voor het gehele internet toegankelijk waren. Het gaat om 2,2 miljoen opnames, zo meldt de Australische beveiligingsonderzoeker Troy Hunt. Daarnaast bevatte de database 820.000 records van gebruikeraccounts, waaronder wachtwoodhashes.

Hunt werd gewaarschuwd door een gebruiker die CloudPets al drie keer had gewaarschuwd dat de database voor iedereen toegankelijk was, maar hij ontving geen reactie. De Australische beveiligingsonderzoeker stapte naar Vice Magazine om de kwetsbaarheid verder te onderzoeken. Vice Magazine was echter al door iemand anders over het datalek getipt. Ook deze tipgever had CloudPets gewaarschuwd.

Aanval

Onbeveiligde MongoDB-databases worden al enige tijd aangevallen en voor losgeld gegijzeld. Aanvallers verwijderen de inhoud van de database en laten een bericht achter dat er losgeld moet worden betaald als de organisatie de gegevens terug wil. Uit onderzoek van Hunt blijkt dat de database van CloudPets meerdere keren door derden is benaderd en voor losgeld gegijzeld.

Volgens Hunt moet CloudPets dan ook hebben geweten dat de database onbeveiligd was en is aangevallen. Ouders zijn echter nooit over het datalek ingelicht. Het bedrijf verkeert al enige tijd in financieel zwaar weer. Het Twitter-account wordt al maanden niet meer onderhouden en ook Hunt en Vice Magazine kregen geen reactie toen ze het bedrijf met het datalek confronteerden. Inmiddels is de onbeveiligde database niet meer toegankelijk.