La base de datos del servicio de citas no protegida filtra datos personales
Otra base de datos expuesta en un servidor en línea fue pirateada y filtró los datos personales de sus usuarios. La base de datos en cuestión pertenecía a un sitio web de citas que se ejecutaba en un servidor Elastisearch y no estaba protegida por contraseña. El descubrimiento de que la base de datos fue expuesta fue realizado a fines de agosto de 2020 por investigadores de seguridad de vpnMentor.
Después de que los investigadores de seguridad se pusieron en contacto con los propietarios de la base de datos, se eliminó rápidamente, pero eso no significa que la base de datos no se haya filtrado con certeza. Había un total de más de 880 gigabytes de archivos de registro de notificaciones push almacenados en la base de datos defectuosa . Se encontró que los archivos de registro contenían los detalles de 66 millones de notificaciones generadas durante los últimos cuatro días, junto con la información personal de cientos de miles de usuarios.
El agregador de servicios de citas que opera la base de datos almacena notificaciones provenientes de más de 70 sitios de citas diferentes. Parecía que muchas de las notificaciones eran spam, con mensajes que ofrecían a los hombres buscar parejas en partes del mundo como Asia o Europa del Este. La forma en que se configuró el sistema, las nuevas notificaciones alarmaron a los usuarios de que una supuesta mujer había enviado un mensaje para atraer a la gente de regreso al servicio.
Información de usuario identificable personalmente expuesta
Si bien todo esto se hizo con el consentimiento de los usuarios, el problema es que había mucha información personal involucrada. La base de datos no solo almacenaba las notificaciones en sí, sino que también contenía un fragmento marcado como datos de "depuración" que contenían datos personales de los usuarios. La información de identificación personal en los registros incluía nombres, correos electrónicos, género, así como datos de geolocalización y dirección IP.
Para empeorar las cosas, las cadenas en las notificaciones también contenían enlaces y claves de autenticación a los perfiles de usuario, lo que podría dar a los malos actores acceso ilimitado a los perfiles, sin siquiera necesitar la contraseña del usuario. Cualquiera que se haya apoderado de la base de datos desprotegida podría haber accedido a toneladas de información del usuario, incluidos perfiles y mensajes anteriores enviados a través del servicio.
Las filtraciones de información personal, especialmente relacionadas con sitios web y servicios de citas, pueden generar un montón de problemas para las personas involucradas, incluidos intentos de extorsión y chantaje.
