Los datos personales de más de 100 millones de usuarios de móviles con Android han quedado expuestos a través de una serie configuraciones de seguridad erróneas de servicios en la nube de terceros en aplicaciones para este sistema operativo.
La información expuesta por estas bases de datos incluÃa correos electrónicos, mensajes de chat, ubicación, contraseñas y fotos, lo cual, en manos de ciberdelincuentes, podrÃa dar lugar a fraudes, hurto de identidad y robos de servicios, como ha alertado la compañÃa de ciberseguridad Check Point en un comunicado.
El problema se debe a desarrolladores de apps que han dejado expuestos tanto sus propios datos como la información privada de millones de usuarios al no seguir buenas prácticas configurando e integrando los servicios en la nube de terceros en sus aplicaciones.
En concreto, la información procedÃa de la desconfiguración de las bases de datos en tiempo real, las que permiten a los creadores de apps almacenar información en la nube, para asà asegurarse de que se sincronizan en tiempo real con todos los clientes conectados.
Al investigar el contenido de ciertas apps que estaban disponibles públicamente, los investigadores de Check Point Research comprobaron que era posible acceder a gran cantidad de información sensible, incluyendo direcciones de correo electrónico, contraseñas, chats privados, localización de dispositivos, identificadores de usuarios y mucho más.
Si un ciberdelincuente consiguiera llegar a esta información, podrÃa dar lugar a un borrado de servicios (es decir, intentar utilizar la misma combinación de nombre de usuario y contraseña en otros servicios), a un fraude o a una suplantación de identidad.
APPS AFECTADAS
Las aplicaciones afectadas por la desconfiguración de sus bases de datos en tiempo real tiene una suma de más de 100 millones de descargas de dispositivos Android, y oscilan entre los 10.000
millones y las 10.000 instalaciones.
Una de las apps que presenta este error de configuración es ‘Astro Guru’, una popular aplicación de astrologÃa, horóscopo y quiromancia con más de 10 millones de descargas, que exponÃa datos introducidos por sus usuarios para recibir predicciones.
A través de ‘T’Leva’, una aplicación de taxis con más de 50 mil descargas, los investigadores de Check Point Research pudieron acceder a los mensajes de chat entre conductores y pasajeros y
recuperar los nombres completos de los usuarios, sus números de teléfono y sus ubicaciones (destino y recogida), todo ello con una sola petición a la base de datos.
Otra aplicación vulnerable, con más de 10 millones de descargas, es ‘Screen Recorder’, que se utiliza para grabar la pantalla del dispositivo del usuario y almacenar las grabaciones en un servicio en la nube, y que exponÃa las claves que dan acceso a las grabaciones almacenadas.
Otro ejemplo es ‘iFax’, que no solo tenÃa los datos de acceso de almacenamiento en la nube incrustadas en la aplicación, sino que también guardaba allà todas las transmisiones de fax. Con solo echar un vistazo la app, un ciberdelincuente podrÃa acceder a todos y cada uno de los documentos enviados por los 500.000 usuarios que la instalaron.
La compañÃa de ciberseguridad ha alertado sobre la exposición de este tipo de información, que permitirÃa que los usuarios reciban ataques a través de las notificaciones ‘push’ de su móvil.
Tras el descubrimiento, Check Point Research se puso en contacto con Google y con cada uno de los desarrolladores, antes de la publicación de este artÃculo. De hecho, algunas ya han cambiado su configuración, como indican desde la compañÃa de ciberseguridad.