TECNOLOGÍA

Los datos de usuarios de Android quedaron expuestos en la nube por problemas en las apps

La información incluía correos electrónicos, mensajes de chat, ubicación, contraseñas y fotos.

Los datos personales de más de 100 millones de usuarios de celulares con Android quedaron expuestos a través de una serie configuraciones de seguridad erróneas de servicios en la nube de terceros en aplicaciones para este sistema operativo.

La información expuesta por estas bases de datos incluía correos electrónicos, mensajes de chat, ubicación, contraseñas y fotos, lo cual, en manos de ciberdelincuentes, podría dar lugar a fraudes, robo de identidad y robos de servicios, como informó la compañía de ciberseguridad Check Point.

El problema se debe a desarrolladores de apps que dejaron expuestos tanto sus propios datos como la información privada de millones de usuarios al no seguir buenas prácticas configurando e integrando los servicios en la nube de terceros en sus aplicaciones.

En concreto, la información procedía de la desconfiguración de las bases de datos en tiempo real, las que permiten a los creadores de apps almacenar información en la nube, para así asegurarse de que se sincronizan en tiempo real con todos los clientes conectados.

Al investigar el contenido de ciertas apps que estaban disponibles públicamente, los investigadores de Check Point Research comprobaron que era posible acceder a gran cantidad de información sensible, incluyendo direcciones de correo electrónico, contraseñas, chats privados, localización de dispositivos, identificadores de usuarios y mucho más.

Si un ciberdelincuente consiguiera llegar a esta información, podría dar lugar a un borrado de servicios (es decir, intentar utilizar la misma combinación de nombre de usuario y contraseña en otros servicios), a un fraude o a una suplantación de identidad.

Las aplicaciones afectadas por la desconfiguración de sus bases de datos en tiempo real tiene una suma de más de 100 millones de descargas de dispositivos Android, y oscilan entre los 10.000 millones y las 10.000 instalaciones.

Una de las apps que presenta este error de configuración es “Astro Guru”, una popular aplicación de astrología, horóscopo y quiromancia con más de 10 millones de descargas, que exponía datos introducidos por sus usuarios para recibir predicciones.

A través de “T’Leva”, una aplicación de taxis con más de 50.000 descargas, los investigadores de Check Point Research pudieron acceder a los mensajes de chat entre conductores y pasajeros y recuperar los nombres completos de los usuarios, sus números de teléfono y sus ubicaciones (destino y lugar de búsqueda), todo ello con un solo pedido a la base de datos.

Otra aplicación vulnerable, con más de 10 millones de descargas, es “Screen Recorder”, que se utiliza para grabar la pantalla del dispositivo del usuario y almacenar las grabaciones en un servicio en la nube, y que exponía las claves que dan acceso a las grabaciones almacenadas.

Seguir leyendo...

Otro ejemplo es “iFax”, que no solo tenía los datos de acceso de almacenamiento en la nube incrustadas en la aplicación, sino que también guardaba allí todas las transmisiones de fax. En ella un ciberdelincuente podía acceder a todos y cada uno de los documentos enviados por los 500.000 usuarios que la instalaron.

La compañía de ciberseguridad alertó sobre la exposición de este tipo de información, que permitiría que los usuarios reciban ataques a través de las notificaciones push de su teléfono.

Tras el descubrimiento, Check Point Research se puso en contacto con Google y con cada uno de los desarrolladores, antes de la publicación de este artículo. De hecho, algunas ya cambiaron su configuración, como indican desde la compañía de ciberseguridad.