Growatt: apps weken niet. webbrowser geeft inzage ander usr

[ollie1965]

Ik krijg een melding dat iemand niet via de apps (iphone/ipad) geen inzage meer heeft.
Ingelogd via een webbrowser ziet zij account gegevens van andere personen met/incl persoonsgegevens (screenshots gezien).

Wie kan als gebruiker van het Growatt (web)monitoring systeem hier wat controleren of hij/zijn account ook vreemd gedraagd?

[TorpedoX_88]

Heb even gekeken en zie niks geks, gewoon de data en gebruikersgegevens van mijzelf

[ollie1965]

Oké, ik wacht even verdere reacties af. heb toch echt een emailadres gezien van een account.
De naam was Nederlands en het domein was van een grote ISP in NL
De naam opzoeken op internet gaf een aantal resultaten.

[Freakie1NL]

Zowel app (Android) als webbrowers doen niets geks, alleen eigen data.

Je zit niet toevallig in het demo account ingelogd? Er zijn mensen zo dom geweest om hun daadwerkelijke account daaraan te koppelen waardoor dat voor elke demo gebruiker zichtbaar is.

[ Voor 57% gewijzigd door Freakie1NL op 18-07-2019 12:07 ]

[AUijtdehaag]

Heb tijdelijk wel wat anders liggen, als je gehackt bent.

[ollie1965]

He, gefelicitaart met je dak vol en je verjaardag!
Nou ik ben niet gehackt maar wel gekke dingen worden waargenomen door ieder geval 1 gebruiker (ik kan tenminste niets anders concluderen a.d.h.v. de screenshots die ik gezien heb)

[ollie1965]

Freakie1NL schreef op donderdag 18 juli 2019 @ 12:06:

Je zit niet toevallig in het demo account ingelogd? Er zijn mensen zo dom geweest om hun daadwerkelijke account daaraan te koppelen waardoor dat voor elke demo gebruiker zichtbaar is.

? kun je eigen account koppelen aan een demo acount, en vervolgens staat dat open voor heel de wereld?
Lekker ontwerp van het systeem dan.
Ik zal eens vragen of men ergens iets van een demo ziet staan

[ollie1965]

Oké, ik ga zelf een kijken of ik die demo omgeving kan vinden.

[Freakie1NL]

Even de volgende link openen (incognito) : https://server.growatt.com/plant.do?action=toViewExamlePlant

En verbaas je er over hoeveel je kunt zien door links van dashboard in plaats van inverter-demo-plant iets anders te selecteren.

[ Voor 38% gewijzigd door Freakie1NL op 18-07-2019 12:23 ]

[ollie1965]

Oké, dit wordt steeds leuker.
Ik zie een waslijst van plants die aan de demo hangen.
Heel veel NL achtige namen, maar ook heel veel "My plant" namen en relatief veel met een naam/locatie in NL.
Is er toch niet een installateur die dit verkeerd aan het installeren is, of vind iedereen dat het gezien mag worden (en bij sommige zie ik best wel veel (persoonlijke mening))

[Freakie1NL]

Je ziet bij bepaalde heel veel. Want je kan gewoon selecteren en tot aan de settings doorgaan, dan zie e-mail adres en nog veel meer. IP kan je achterhalen. En via de app kan je met het zelfde demo account, instellingen van de omvormer aanpassen! Zo lek als een mandje.

Die van ons zit er niet tussen. Dubbel check zou wel fijn zijn; "E&F" heb ik hem genoemd.

[ollie1965]

Dus ik mag nu een white hacker op je af sturen
Ik heb en duits merk dus ook niet de beschikking over de app, maar de persoon die het bij mij melde wel.
Er wordt volgens mij door hen meegelezen dus als het niet goed staat, heb je straks misschien een lage dagopbrenst

[Tazzios]

Inderdaad GPS coordinaten zijn er ook te vinden. Iemand die de redactie wil tippen?

@Freakie1NL E&F niet kunnen vinden bij plants

[ollie1965]

Tazzios schreef op donderdag 18 juli 2019 @ 12:32:
Inderdaad GPS coordinaten zijn er ook te vinden. Iemand die de redactie wil tippen?

@Freakie1NL E&F niet kunnen vinden bij plants

Al gedaan met een link naar dit draadje

[TijsZonderH]

Redactie checking in! Dit klinkt wel erg dubieus inderdaad, ik kreeg laatst ook al van iemand door dat er mogelijk iets geks te vinden was in die inverters maar kreeg ik niet bevestigd.

Dit is wel heel dubieus idd, hoe kwam je bij die ene guest-sessie terecht?

[TorpedoX_88]

Heb dit ook wel eens gezien bij het guest account, verbaasde me er toen al over hoeveel je kon zien en zelfs aan kon passen. Heb daarom ook zo min mogelijk info ingevuld in mijn aacount mocht iemand anders mijn info kunnen zien.

[Freakie1NL]

TijsZonderH schreef op donderdag 18 juli 2019 @ 15:52:
Redactie checking in! Dit klinkt wel erg dubieus inderdaad, ik kreeg laatst ook al van iemand door dat er mogelijk iets geks te vinden was in die inverters maar kreeg ik niet bevestigd.

Dit is wel heel dubieus idd, hoe kwam je bij die ene guest-sessie terecht?

1) Open het Growatt monitorings portaal. Eventueel in incognito modus. Via: https://server.growatt.com/plant.do?action=toViewExamlePlant

2) Vervolgens heb je linksboven een dropdown menu waarin je een andere 'plant' kan kiezen.

afbeeldignen

Ik plaats verder geen screenshots meer want er zijn eventueel persoonsgegevens te achterhalen.

3. Maar klik bijvoorbeeld op P. Gerda. (of andere willekeurige user)
-Vervolgens kan je onder User Center en daarna Userinfo email gegevens zien.
-In Plant > Device list kan je het IP achterhalen
-In Plant > Plant Details kan je nog meer info achterhalen.

Bij een aantal users heb ik al gezien dat je ook de settings kunt openen.

En als kers op de taart kan je in de app de settings van de omvormer aanpassen.

*EDIT*
Bij FvE kan je bijvoorbeeld ook bij Plant Image een foto van de woning zien, bij user data een telefoonummer etc.

Tot nu toe ben ik SolarNRG meerdere malen als installateur tegengekomen (ga via plant > plant detail): o.a. bij plant "zonnepanelen" ; "goudvink"

[ Voor 15% gewijzigd door Freakie1NL op 18-07-2019 16:41 ]

[TijsZonderH]

Freakie1NL schreef op donderdag 18 juli 2019 @ 16:29:
[...]


1) Open het Growatt monitorings portaal. Eventueel in incognito modus. Via: https://server.growatt.com/plant.do?action=toViewExamlePlant

2)

Je kunt bij ExamplePlant alles invullen wat je wilt en idd random accounts zien, lijkt op eerste gezicht idd een soort demoaccount...

[ollie1965]

Maar demo account waar bij de andere accounts dus dagopbrengsten in binnen komen dus het lijkt me wel degelijk live accounts. Enkele namen uit mijn geografische omgeving komen zelfs bekend voor.
Ik zou zeggen mail er eens 1 en kijk of je reactie krijgt.

[ollie1965]

Nou beetje geo onderzoek blijkt wel te kloppen
https://www.google.nl/map...:0x0!8m2!3d51.577!4d4.426

Opbrengst vandaag 58kWh kan wel kloppen met de grote van de set