Die wenig bekannte Überwachungs-App Spyzie hat mehr als eine halbe Million Android-Geräte und Tausende von iPhones sowie iPads kompromittiert, indem sie eine Sicherheitslücke nutzt, die auch bei ähnlichen Apps wie Cocospy und Spyic vorhanden ist. Diese Schwachstelle ermöglicht den Zugriff auf private Daten wie Nachrichten, Fotos und Standortinformationen von betroffenen Geräten. Zusätzlich werden E-Mail-Adressen von Spyzie-Kunden offengelegt. Der Sicherheitsforscher sammelte 518.643 E-Mail-Adressen und teilte diese mit TechCrunch und Troy Hunt, der die Website Have I Been Pwned betreibt.

Obwohl Spyzie eine geringe Online-Präsenz hat, wurde die App von Tausenden zahlenden Kunden genutzt. Insgesamt sind die Apps Cocospy, Spyic und Spyzie bei mehr als 3 Millionen Nutzern verbreitet. Das Datenleck verdeutlicht, dass Stalkerware-Apps häufig Sicherheitslücken aufweisen, die sowohl die Daten der Nutzer als auch die ihrer Überwachungsopfer gefährden. Auch wenn solche Apps zur Überwachung von Kindern verwendet werden, setzen sie deren Daten einem erhöhten Risiko aus. Die Sicherheitslücke in Spyzie wurde bisher nicht behoben, und die Betreiber reagierten nicht auf Anfragen.

Apps wie Spyzie, Cocospy und Spyic sind darauf ausgelegt, auf Android-Geräten unsichtbar zu bleiben, sodass sie für die Opfer schwer erkennbar sind. Sie laden kontinuierlich alle Inhalte des betroffenen Geräts auf die Server des Anbieters hoch, wodurch der Täter jederzeit Zugriff darauf hat. Die meisten Opfer von Spyzie sind Android-Nutzer, und zur Installation auf einem Android-Gerät ist physischer Zugriff erforderlich, oft auch der Entsperrcode des Geräts. Solche Apps werden häufig in missbräuchlichen Beziehungen verwendet.

Für iPhones und iPads nutzen Stalkerware-Apps gestohlene Apple-Zugangsdaten, um sich in das iCloud-Konto des Opfers einzuloggen, da Apple strengere Sicherheitsregeln hat. Mindestens 4.900 iPhones und iPads wurden durch Spyzie kompromittiert. Die gestohlenen Daten zeigen, dass die ersten betroffenen Apple-Geräte bereits im Februar 2020 identifiziert wurden, während die neuesten Fälle bis Juli 2024 reichen.