Lightshot-funktion. Som den mest populära skärmdumptjänsten i åratal har den läckt användardata till nätverket.
Lightshot genererar offentliga webbadresser som är ett lätt byte för bedragare.
Människor, i mörkret, delar själva med sig av sin känsliga information online när de använder den populära Lightshot-skärmdumpsappen. Webbadresserna till dussintals skärmdumpar tagna med appen kan lätt hittas online, vilket gör dem till ett enkelt byte för cyberbrottslingar.
Lightshot -appen, som ägs av mjukvaruutvecklingsföretaget Skillbrains, är populär bland miljontals människor som tar emot och skickar dussintals skärmdumpar varje dag. Genom att ta en skärmdump kan en person ladda upp sin bild till företagets server med en offentlig URL. Det är möjligt att spara en skärmdump på din telefon eller dela den på ett socialt nätverk.
URL:en behövs också så att användare kan skicka sina skärmdumpar till vänner, familj eller kollegor. Lightshot har redan laddat upp över två miljarder skärmdumpar till webben. Processen för hur själva webbadresserna genereras lämnar dock mycket övrigt att önska.
Alla skärmdumpslänkar har ett enkelt format: " prnt.sc/" (Lightshot-server) + en sexteckens alfanumerisk kod. Det betyder att vem som helst kan ange "prnt.sc/" och en slumpmässig kombination av sex siffror och bokstäver och snubbla över en annan användares uppladdade skärmdump. Sådana situationer har upprepade gånger inträffat under hela programmets existens på marknaden.
Den första releasen av Lightshot ägde rum 2014. Sedan dess har applikationen utvecklats aktivt och blivit tillgänglig som tillägg för webbläsare och en stationär version för OS. Programmet är kompatibelt med Mac och Windows, och har även plugins för Chrome och Firefox. Över en miljon människor använder detta tillägg på Google Chrome och cirka 40 000 på Firefox. På Android-telefoner har appen installerats från Google Play över 500 000 gånger.
Om du tittar på resultaten av 11 000 slumpmässigt genererade webbadresser skapade av systemet som Lightshot använder, kan du enkelt hitta privata bilder på dess användare. De flesta länkarna fungerar naturligtvis inte eftersom skärmbilderna redan har tagits bort eller inte längre kan hittas. Men många webbadresser tillhör skärmdumpar som inkluderar namn, adresser, kontaktnummer, bankuppgifter och till och med intima delar av appanvändarnas kropp.
Det automatiserade skriptet hittade 529 visningsbara bilder av 11 000 genererade webbadresser. Cirka 63 % av dessa skärmdumpar innehöll absolut värdelös information: klipp från videospel, önskelistor, kodningsinstruktioner.
Cirka 20 % av de analyserade bilderna innehöll data som kunde användas för att stjäla personlig information eller hacka sig in på andra konton. Människor delade ögonblicksbilder av konversationer, e-postmeddelanden och inlägg på sociala medier med vänner med identifierbara användarnamn.
Analysen visade att 8 % av skärmdumparna innehöll mer personlig, privat information. Bland dem finns intima bilder som togs under videosamtal; 6 skärmdumpar av användare som barn och 30 bilder som tydligt visar namn, registrering och bankuppgifter, telefonnummer, IP-adresser och leveransadresser för personer.
"Att ge allmänheten tillgång till känslig användardata är oacceptabelt. Detta beror på att digitala plattformar sparar pengar på att skydda sina kunders personliga information."
Enligt Bhagya Wimalasiri, en avancerad systemsäkerhetsforskare vid University of Sheffield, är sådana plattformar byggda på modeller som tjänar pengar på själva " idén om osäkerhet ". Utan att tänka på användarens säkerhet utökar sådana applikationer sin funktionalitet för att locka fler kunder. En av dessa "chips" är skärmdumpar med allmän tillgång.
Skillbrains, som äger Lightshot, har ännu inte kommenterat. Appens användarvillkor noterar dock att alla uppladdade bilder inte är privata. "Skärmdumpen kommer att vara tillgänglig för alla som anger dess exakta URL. Ingen bild som laddas upp till vår webbplats kan vara privat", säger programmets säkerhetspolicy. "Vår sida är utformad för att dela foton, inte skydda dem från yttre hot."
Att vem som helst kan hitta känsliga bilder på Lightshots hemsida är ingen stor hemlighet. Genom en praxis som webbskrapning kan en person få cirka 13 000 länkar till allmänt tillgängliga skärmdumpar. Dessutom finns det speciella program som hjälper till att analysera de mottagna bilderna för personlig information och intima bilder.
Lightshots användarvillkor anger också att användare är förbjudna att ladda upp foton som innehåller vuxet innehåll eller som visar ett brott mot lagen. Men alla följer inte dessa regler. Det är också värt att notera att varken själva Lightshot-appen eller dess hemsida tydligt anger att alla webbadresser för skärmdumpar är offentliga.
Sådan vårdslöshet gör att kriminella kan utföra många olika attacker. Med rätt information kan de stjäla dina referenser, ta ut pengar från ditt kort eller bedriva banalt nätfiske.
Kunder och företaget självt ansvarar gemensamt för att förhindra att personuppgifter lämnas ut. Människor bör vara medvetna om att deras bilder blir offentliga direkt efter uppladdning. De bör också vara lite mer försiktiga med skärmdumparna de laddar upp på sajten.
Baserat på Wired UK.