Datenleck: WiFi Finder speicherte zwei Millionen WLAN-Passwörter

Die von mehr als 100.000 Anwendern genutzte Hotspot-Finder-App „WiFi Finder“ hat mit einem großen Datenleck zu kämpfen: Über eine ungeschützte Datenbank konnte jederzeit auf zwei Millionen Nutzer-Einträge zugegriffen werden – darunter auch Zugangsdaten zu privaten drahtlosen Netzwerken.

Datenbank lange Zeit frei zugängig

Dass die App Passwörter öffentlicher WLAN-Netzwerke in eine Datenbank hochlädt, dürfte noch im Sinne der Nutzer des WiFi Finder sein – so können auch andere Nutzer schnell auf öffentliche Hotspots zugreifen. Dass dabei aber auch Passwörter des eigenen oder anderer privater drahtloser Netzwerke gespeichert werden, dürfte für viele Nutzer dagegen neu sein. Auf die mittlerweile vom Netz genommene Datenbank konnte lange Zeit jeder beliebige Nutzer zugreifen und die enthaltenen Informationen herunterladen.

Viele Einträge privater Netzwerke

Gefunden wurde das Datenleck von Sanyam Jain, Sicherheitsforscher und Mitglied der GDI Foundation, der seine Entdeckung TechCrunch mitteilte. Eine Überprüfung der Datenbank zeigte, dass jeder Datensatz den Namen des WLAN-Netzwerkes, dessen genauen Standort, Basic Service Set Identifier (BSSID) und das Netzwerkpasswort im Klartext enthielt. Anders als die Behauptung der Entwickler, dass die App nur Passwörter für öffentliche Hotspots bereitstellen würde, wies die Datenbank eine große Anzahl von Einträgen privater Netzwerke samt Passwörtern auf. Diese beinhalten zwar keine Informationen über den Netzwerkbesitzer, jedoch wies die Lokalisierung dieser Netzwerke oftmals ihren Ursprung in Wohngebieten weitab von größeren Unternehmen auf.

Entwickler nicht erreichbar

TechCrunch versuchte darüber hinaus mehr als zwei Wochen, mit dem als Entwickler fungierenden Unternehmen Proofusion, welches seinen Sitz in China haben soll, in Kontakt zu treten – ohne Erfolg. Daraufhin wurde der Provider DigitalOcean kontaktiert, welcher die Datenbank innerhalb eines Tages nach Kontaktaufnahme vom Netz nahm.

Nutzer sollten Passwort ändern

Durch die Funktionsweise der App verbreiteten sich die Zugänge zu den betroffenen drahtlosen Netzwerken ebenso schnell wie die zu öffentlichen Hotspots. Zudem dürften viele WLAN-Besitzer nicht einmal wissen, dass ihr Zugang in der beschriebenen Datenbank zu finden war. TechCrunch ist der Ansicht, dass sich alleine mehrere zehntausend Zugänge in den USA befinden, zudem kann nicht ausgeschlossen werden, dass auch Nutzer in Deutschland, Österreich oder der Schweiz betroffen sind. Daher sollte jeder Anwender, welcher die Applikation in der Vergangenheit genutzt hat, als Vorsichtsmaßnahme das eigene WLAN-Passwort ändern. Im Google Play Store machen derzeit zahlreiche Nutzer ihren Unmut über die Sammelwut der App mittels Ein-Sterne-Bewertungen Luft.