Пелотонове потешкоће настављају се са откривањем цурења података приватних корисника

Пелотонова 2021. година се креће из лошег у горе, јер се појављују извештаји о потенцијалном кршењу података. Чини се да кршење потиче из изложеног АПИ-ја који је омогућавао свима да извуку приватне информације чланова Пелотона, укључујући оне са најприватнијим подешавањима података.

Погоршавајући ствари, истраживач безбедности је Пелотону одговорно открио откриће изложеног АПИ-ја још у јануару 2021. користећи стандардни рок од 90 дана - али изгледа да је Пелотон исправио грешку у временском оквиру.

Пелотон је наводно изложио податке о претплатницима

Прво пријавио Зацк Вхиттакер за ТецхЦрунцх, изложени АПИ омогућио је свима да повуку податке приватног корисничког налога са Пелотон сервера, без обзира на статус налога. Према Вхиттакер-овом опису:

На половини мог тренинга у понедељак поподне прошле недеље добио сам поруку од истраживача безбедности са снимком екрана података о мом налогу на Пелотон-у. Мој Пелотон профил је подешен на приватни, а списак мојих пријатеља је намерно нула, тако да нико не може да види мој профил, старост, град или историју вежбања.

Извештај је доставио Јан Мастерс, истраживач безбедности из Пен Тест партнери. Мастерс је открио да он може да упути неовлашћене АПИ захтеве на сервере Пелотон. Захтеви су вратили податке који укључују:

• Кориснички ИД-ови
• ИД-ови инструктора
• Чланство у групи
• Локација
• Статистика тренинга
• Пол и старост
• Ако су у студију или нису

Након откривања потенцијалног кршења података, Мастерс је Пелотону одговорно обелоданио процури АПИ. Најодговорнија откривања дају добављачу услуга 90 дана да исправи грешку, што је Мастерс и учинио.

Међутим, чини се да је Пелотон уместо да у потпуности поправи рањивост, у почетку само ограничио приступ АПИ-ја својим члановима. У том тренутку је свако могао да отвори нови рачун са месечним чланством и да га користи за приступ АПИ-ју.

Упркос даљим контактима Пен Тест Партнерс-а, Пелотон није реаговао све док компанија за истраживање безбедности није контактирала Пелотон за даља објашњења.

Убрзо након што је успостављен контакт са прес канцеларијом у Пелотону, имали смо контакт директно са Пелотоновим ЦИСО-ом, који је био нови на тој функцији. Рањивости су углавном отклоњене у року од 7 дана. Штета је што на наше обелодањивање нисмо благовремено одговорили, а такође је срамота што смо морали да укључимо новинара да би нас саслушали.

ТецхЦрунцх је држао вест о цурењу АПИ-ја све док Пелотон није решио проблем, од тада и до данас.

Повезан: Пелотон вс. Нордицтрацк Вс. Ецхелон: Најбољи тренер бицикала у затвореном

Пелотон 2021. на неравном колосеку

Пелотон је био чест посетилац наслова, и то не увек из правих разлога. Трака за трчање Пелотон Треад + опозива се након трагичне смрти малог детета и више случајева повреда. Истовремено, постоје позиви за даљу истрагу других Пелотонових производа ради провере сигурносних проблема.

Повезан: Пелотон се бори против опозива свог газећег слоја + траке за трчање

Ако сте власник траке за трчање Пелотон Треад +, производ је званично опозван 5. маја 2021. године. Тхе Страница Пелотон Рецалл пружа више информација о примању пуног поврата новца и враћању траке за трчање.

После смрти детета, Пелотон издаје ново обавештење о безбедности

Због инцидента је извршни директор Пелотона Јохн Фолеи написао купцима е-пошту.

Прочитајте следеће

О аутору