पेलोटन का संकट निजी उपयोगकर्ता डेटा के रिसाव के साथ जारी है

पेलोटन का 2021 खराब से बदतर होता जा रहा है क्योंकि संभावित डेटा के उल्लंघन की खबरें सामने आ रही हैं। उल्लंघन एक उजागर एपीआई से स्टेम करने के लिए प्रकट होता है जिसने किसी को भी पेलोटन के सदस्यों की निजी जानकारी को खींचने की अनुमति दी, जिसमें सबसे अधिक निजी व्यवसाय सेटिंग्स शामिल हैं।

मामले को बदतर बनाते हुए, सुरक्षा शोधकर्ता ने जिम्मेदारी से उजागर एपीआई की खोज का खुलासा किया जनवरी 2021 में मानक 90-समय सीमा का उपयोग करते हुए — लेकिन यह प्रतीत होता है कि पेलोटन ने समय सीमा के भीतर बग को ठीक किया।

पेलोटन ने कथित तौर पर सब्सक्राइबर डेटा को उजागर किया

के लिए सबसे पहले Zack Whittaker द्वारा रिपोर्ट की गई टेकक्रंचउजागर एपीआई ने किसी को भी पेलेटोन सर्वर से निजी उपयोगकर्ता खाता डेटा खींचने की अनुमति दी, इससे कोई फर्क नहीं पड़ता कि खाता स्थिति क्या है। व्हिटाकर के विवरण के अनुसार:

पिछले हफ्ते मेरे सोमवार दोपहर के कसरत के आधे रास्ते के बाद, मुझे अपने पेलोटन अकाउंट डेटा के स्क्रीनशॉट के साथ एक सुरक्षा शोधकर्ता का संदेश मिला। मेरी पेलोटन प्रोफ़ाइल निजी पर सेट है, और मेरे मित्र की सूची जानबूझकर शून्य है, इसलिए कोई भी मेरी प्रोफ़ाइल, आयु, शहर या कसरत इतिहास नहीं देख सकता है।

रिपोर्ट रिपोर्ट में एक शोधकर्ता जान मास्टर्स से आया है पेन टेस्ट पार्टनर्स. मास्टर्स ने पाया कि वह पेलोटोन सर्वरों के लिए अनधिकृत एपीआई अनुरोध कर सकता है। अनुरोधों में डेटा शामिल है:

• उपयोगकर्ता आईडी
• प्रशिक्षक आई.डी.
• समूह सदस्यता
• स्थान
• कसरत के आँकड़े
• लिंग और आयु
• अगर वे स्टूडियो में हैं या नहीं

संभावित डेटा उल्लंघन को उजागर करने के बाद, मास्टर्स ने पेलोटन को लीक एपीआई का खुलासा किया। अधिकांश जिम्मेदार खुलासे सेवा प्रदाता को बग को ठीक करने के लिए 90-दिन देते हैं, जो मास्टर्स ने किया था।

हालाँकि, ऐसा प्रतीत होता है कि पूरी तरह से भेद्यता को पैच करने के बजाय, पेलोटन ने शुरू में अपने सदस्यों के लिए केवल एपीआई एक्सेस को प्रतिबंधित किया था। उस समय, कोई भी मासिक सदस्यता के साथ एक नया खाता बना सकता है और एपीआई का उपयोग करने के लिए उपयोग कर सकता है।

पेन टेस्ट पार्टनर्स से आगे संपर्क के बावजूद, पेलोटन अनुत्तरदायी रहे जब तक कि सुरक्षा अनुसंधान कंपनी आगे की व्याख्या के लिए पेलोटन तक नहीं पहुंच गई।

पेलोटन में प्रेस कार्यालय के साथ संपर्क करने के कुछ ही समय बाद हमने पेलोटन के CISO से सीधे संपर्क किया, जो इस पद पर नए थे। कमजोरियों को बड़े पैमाने पर 7 दिनों के भीतर तय किया गया था। यह शर्म की बात है कि हमारे खुलासे का समयबद्ध तरीके से जवाब नहीं दिया गया और यह भी शर्म की बात है कि हमें सुनने के लिए एक पत्रकार को शामिल करना पड़ा।

TechCrunch ने API लीक की खबर तब तक जारी रखी जब तक कि पेलोटन ने इस मुद्दे को हल नहीं कर दिया, जो तब से है।

सम्बंधित: पेलोटन बनाम। नॉर्डिकट्रैक बनाम। इचेलॉन: द बेस्ट इंडोर बाइक ट्रेनर

पेलोटन का 2021 एक ऊबड़ ट्रैक पर

पेलोटन लगातार सुर्खियों में आए हैं, और हमेशा सही कारणों से नहीं। एक छोटे बच्चे की दुखद मौत और कई चोट के मामलों के बाद पेलोटन ट्रेड + ट्रेडमिल को वापस बुलाया जा रहा है। इसी समय, सुरक्षा के मुद्दों की जांच करने के लिए अन्य पेलोटन उत्पादों में आगे की जांच के लिए कॉल हैं।

सम्बंधित: पेलोटन इज़ फाइटिंग ए सेफ्टी रिकॉल ऑफ़ इट्स ट्रेडेड + ट्रेडमिल

यदि आप एक पेलोटन ट्रेडर + ट्रेडमिल के मालिक हैं, तो उत्पाद को आधिकारिक तौर पर 5 मई 2021 को वापस बुलाया गया था। पेलोटन रिकॉल पेज एक पूर्ण वापसी प्राप्त करने और अपने ट्रेडमिल को वापस करने के बारे में अधिक जानकारी प्रदान करता है।

एक बच्चे की मौत के बाद, पेलोटन एक नया सुरक्षा नोटिस जारी करता है

इस घटना के कारण पेलोटन के सीईओ जॉन फोले ने ग्राहकों को एक ईमेल लिखा।

आगे पढ़िए

लेखक के बारे में