Kinomap es la última aplicación para filtrar información debido a la terrible gestión de la base de datos

Vivir la pandemia de coronavirus y el bloqueo que nos ha impuesto no es fácil, pero todos los que se sientan tentados a comenzar a quejarse no deberían olvidar que podría haber sido mucho peor. Gracias a la tecnología, muchas cosas que antes requerían salir ahora se pueden hacer desde la comodidad de nuestros hogares. Las aplicaciones como Kinomap pueden incluso ayudarnos a mantenernos en forma sin salir de la casa, lo cual es especialmente importante dada la situación actual.

Desafortunadamente, la conveniencia adicional trae consigo su propio conjunto de problemas. La ciberseguridad es una de ellas, y el triste hecho es que no pensamos mucho en ello. Los investigadores de vpnMentor nos mostraron por qué deberíamos intentar prestarle más atención.

Kinomap dejó más de 42 millones de registros en una base de datos desprotegida

Dirigido por Noam Rotem y Ran Locar, el equipo de investigación de vpnMentor ideó un proyecto de mapeo web que escanea bloques de direcciones IP y encuentra dispositivos conectados que no están configurados correctamente. La investigación lleva un tiempo en marcha y ha dado como resultado el descubrimiento y la corrección de bastantes filtraciones de datos. El mencionado Kinomap es la última aplicación en caer en la mira de los investigadores.

El mes pasado, descubrieron una base de datos de 40 GB que no estaba protegida por una contraseña. Una rápida mirada les hizo saber a los investigadores que están buscando información recopilada por Kinomap, y después de una inspección más cercana, se dieron cuenta de que contenía la información personal de alrededor de 42 millones de usuarios.

Aunque no pueden estar seguros, los expertos de vpnMentor consideran que esta podría ser la base de usuarios completa de Kinomap. Las personas afectadas están diseminadas por todo el mundo, y deben tener mucho cuidado porque su aplicación de entrenamiento en el hogar expuso mucha información sobre ellas. Entre los detalles filtrados, los investigadores encontraron:

• Nombres
• Nombres de usuario de Kinomap
• Correos electrónicos
• Países de origen

Los registros también incluían información de telemetría sobre cómo se usaba la aplicación, así como enlaces a cuentas individuales. Esto, junto con los datos anteriores, podría dar a los piratas informáticos la oportunidad de organizar un sofisticado ataque de phishing.

En algunos de los registros, los expertos encontraron claves API, que permitirían a los atacantes hacerse cargo de cuentas enteras.

Los desarrolladores de Kinomap no son las primeras personas en configurar mal una base de datos conectada a Internet, y probablemente no serán los últimos. En tales casos, es importante ver a los proveedores de servicios y vendedores de software reconocer sus errores y tratar de aprender de ellos. Las personas a cargo de Kinomap, sin embargo, han adoptado un enfoque diferente.

Kinomap prefiere no comentar sobre la base de datos mal configurada

Los expertos de vpnMentor descubrieron por primera vez la base de datos mal configurada de Kinomap el 16 de marzo y, un par de días después, intentaron ponerse en contacto con el desarrollador. Después de no saber nada durante poco menos de dos semanas, hicieron otro intento de revelar la filtración el 30 de marzo. Los investigadores querían asegurarse de que alguien solucionara el problema, por lo que también informaron a la Comisión Nacional de Información y Libertades ( CNIL), un regulador de privacidad en Francia, el país donde se encuentran los desarrolladores de Kinomap. El 12 de abril, la base de datos finalmente se eliminó, y los investigadores creen que esto probablemente se deba a la participación de CNIL.

Cuando Lisa Vaas de Sophos se puso en contacto con Kinomap, los desarrolladores de la aplicación finalmente respondieron. La compañía dijo que solucionó la vulnerabilidad "inmediatamente" después de recibir una notificación al respecto, lo que, como puede ver, está en marcado contraste con lo que informaron los expertos en seguridad. Las instituciones que hacen cumplir el Reglamento General de Protección de Datos (GDPR) de la UE deberían decidir si la reacción de los creadores de Kinomap fue adecuada.