Los datos personales de más de 100 millones de usuarios de móviles con Android han quedado expuestos a través de una serie configuraciones de seguridad erróneas de servicios en la nube de terceros en aplicaciones para este sistema operativo.
Filtran correos y contraseñas de plataformas como Netflix, LinkedIn y Bitcoin
La información expuesta por estas bases de datos incluía correos electrónicos, mensajes de chat, ubicación, contraseñas y fotos, lo cual, en manos de ciberdelincuentes, podría dar lugar a fraudes, hurto de identidad y robos de servicios, como ha alertado la compañía de ciberseguridad Check Point en un comunicado.
El problema se debe a desarrolladores de apps que han dejado expuestos tanto sus propios datos como la información privada de millones de usuarios al no seguir buenas prácticas configurando e integrando los servicios en la nube de terceros en sus aplicaciones.
En concreto, la información procedía de la desconfiguración de las bases de datos en tiempo real, las que permiten a los creadores de apps almacenar información en la nube, para así asegurarse de que se sincronizan en tiempo real con todos los clientes conectados.
Al investigar el contenido de ciertas apps que estaban disponibles públicamente, los investigadores de Check Point Research comprobaron que era posible acceder a gran cantidad de información sensible, incluyendo direcciones de correo electrónico, contraseñas, chats privados, localización de dispositivos, identificadores de usuarios y mucho más.
Si un ciberdelincuente consiguiera llegar a esta información, podría dar lugar a un borrado de servicios (es decir, intentar utilizar la misma combinación de nombre de usuario y contraseña en otros servicios), a un fraude o a una suplantación de identidad.
APPS AFECTADAS
Las aplicaciones afectadas por la desconfiguración de sus bases de datos en tiempo real tiene una suma de más de 100 millones de descargas de dispositivos Android, y oscilan entre los 10.000
millones y las 10.000 instalaciones.
Una de las apps que presenta este error de configuración es ‘Astro Guru’, una popular aplicación de astrología, horóscopo y quiromancia con más de 10 millones de descargas, que exponía datos introducidos por sus usuarios para recibir predicciones.
A través de ‘T’Leva’, una aplicación de taxis con más de 50 mil descargas, los investigadores de Check Point Research pudieron acceder a los mensajes de chat entre conductores y pasajeros y
recuperar los nombres completos de los usuarios, sus números de teléfono y sus ubicaciones (destino y recogida), todo ello con una sola petición a la base de datos.
Otra aplicación vulnerable, con más de 10 millones de descargas, es ‘Screen Recorder’, que se utiliza para grabar la pantalla del dispositivo del usuario y almacenar las grabaciones en un servicio en la nube, y que exponía las claves que dan acceso a las grabaciones almacenadas.
Otro ejemplo es ‘iFax’, que no solo tenía los datos de acceso de almacenamiento en la nube incrustadas en la aplicación, sino que también guardaba allí todas las transmisiones de fax. Con solo echar un vistazo la app, un ciberdelincuente podría acceder a todos y cada uno de los documentos enviados por los 500.000 usuarios que la instalaron.
La compañía de ciberseguridad ha alertado sobre la exposición de este tipo de información, que permitiría que los usuarios reciban ataques a través de las notificaciones ‘push’ de su móvil.
Tras el descubrimiento, Check Point Research se puso en contacto con Google y con cada uno de los desarrolladores, antes de la publicación de este artículo. De hecho, algunas ya han cambiado su configuración, como indican desde la compañía de ciberseguridad.
