Утечка данных произошла из-за того, что внутренняя БД производителя (Elasticsearch) случайно оказалась в открытом доступе, пишет Xakep.ru. Представители Wyze признаются, что вообще не используют Elasticsearch в продакшене, но сервер все же хранил актуальные данные клиентов и был открыт для доступа извне.
Известно, что база содержала email-адреса, которые клиенты использовали для создания учетных записей Wyze, имена, которые пользователи присваивали своим камерам Wyze, идентификаторы SSID, а в случае 24,000 пользователей еще и токены Alexa, использующиеся для подключения устройств Wyze к устройствам Alexa.
В конечном итоге эту БД, «смотрящую» в сеть, обнаружили не специалисты компании, но исследователи из консалтинговой компании Twelve Security, а затем эти данные проверили журналисты IPVM , блога, посвященного продуктам видеонаблюдения. Интересно, что представители Wyze крайне недовольны тем, как исследователи подошли к вопросу раскрытия этой проблемы. Фактически, компании дали на исправление проблемы около 10 минут, после чего информация о БД была опубликована в сети.
Также в своем заявлении представители Wyze отрицают, что в результате утечки пострадали API-токены Wyze, тогда как в своем блоге исследователи Twelve Security утверждают, что нашли такие токены, которые, по их словам, позволяли получить доступ к учетным записям Wyze с любого устройства на iOS или Android.
Кроме того, исследователи писали, что компания собирала и передавала данные пользователей на облачный сервер Alibaba Cloud в Китае, но эти обвинения производитель тоже отрицает. Также Душен Сонг объяснил, почему, согласно данным Twelve Security, Wyze собирает информацию о здоровье пользователей. Якобы эти данные собирались только для 140 пользователей, которые тестировали новый продукт Smart Scale. Таким образом, подтвердилась информация о сборе показателей роста, веса и пола пользователей, однако в компании настаивают, что никогда не собирали данные о плотности костей и ежедневном потреблении белка.