Más de 20 millones de archivos se han filtrado por 9 diferentes aplicaciones de citas

Para demostrar cuán peligrosas podrían ser las bases de datos no seguras, un grupo de investigadores recientemente llenó una instalación de Elasticsearch con datos ficticios, la configuró deliberadamente de manera incorrecta y esperó para ver cuánto tiempo les tomaría a los piratas informáticos encontrarla y comenzar a recopilar la información. El primer ataque fue presenciado dentro de las ocho horas posteriores a la conexión de la base de datos, y durante los siguientes diez días, se accedió al honeypot en promedio dieciocho veces por día. Estos resultados deberían ser particularmente angustiantes para los usuarios de algunas aplicaciones de citas de nicho que, como ya habrán adivinado, tenían algunos de sus datos almacenados en una base de datos poco segura.

Al menos nueve aplicaciones de citas expusieron datos explícitos del usuario en un depósito S3 no seguro

Es el último de una larga lista de descubrimientos realizados por el equipo de investigadores de VPNMentor dirigido por Noam Rotem y Ran Locar. Como parte de su proyecto masivo de mapeo web, localizaron un cubo no seguro de Amazon Web Services S3 el 24 de mayo. En total, la base de datos contenía 20,4 millones de archivos con un peso de 845 GB.

Una de las cosas interesantes sobre la base de datos fue que la información de identificación personal que expuso era limitada. Sin embargo, había bastantes archivos multimedia y estamos bastante seguros de que a sus propietarios les hubiera gustado que permanecieran privados. Hubo muchas fotos sexualmente explícitas con caras visibles en ellas, capturas de pantalla de conversaciones de chat, mensajes de voz, así como detalles de transacciones financieras.

Para proteger la privacidad de los usuarios expuestos, los investigadores decidieron no examinar a fondo los datos, lo que significa que es imposible estimar correctamente el número exacto de personas afectadas. Rotem y Locar dijeron en su informe, sin embargo, que cientos de miles y posiblemente millones de usuarios están involucrados.

Los datos fueron filtrados por múltiples aplicaciones de citas. La investigación de los investigadores los llevó a una compañía llamada "Cheng Du New Tech Zone", que figuraba en la sección de contactos de múltiples aplicaciones de conexión en Google Play. Las similitudes en el diseño del sitio web de las aplicaciones confirmaron que probablemente sean desarrolladas por el mismo grupo de personas. Aquí está la lista:

• GHunt
• Herpes citas
• SugarD
• Casualx
• BBW citas
• Xpal
• Gay papi oso
• Cougary
• 3somes

Los expertos están seguros de que estas nueve aplicaciones estuvieron involucradas en la violación, pero consideran que los usuarios de otras aplicaciones del mismo desarrollador también podrían verse afectados.

Las consecuencias de la fuga podrían ser terribles.

La buena noticia es que los datos ya no están en línea. Dos días después de descubrir el cubo con fugas, los investigadores utilizaron el formulario de contacto de una de las aplicaciones afectadas y, para su sorpresa, recibieron una respuesta casi de inmediato. El equipo de VPNMentor respondió a la solicitud de más información enviando la URL de una de las bases de datos. A pesar de que el desarrollador decidió no comunicarse más con los investigadores, todos los datos se desconectaron en 24 horas. Al momento de escribir esto, algunas de las aplicaciones también parecen haber sido eliminadas de Google Play.

Todo esto está muy bien, pero no hace falta decir que el desarrollador no debería haber cometido el error en primer lugar. Como puede ver, no estamos hablando de sus competidores típicos de Tinder. Las aplicaciones están dirigidas a personas con preferencias sexuales específicas y fetiches que podrían ser estigmatizados. Los que los usan probablemente no quieran anunciarlo públicamente, y ciertamente no querrían exponer las imágenes y las conversaciones que comparten entre sí. Si los datos caen en las manos equivocadas, los delincuentes podrían filtrar las imágenes, engañar a las personas afectadas o extorsionarlas. Se podrían perder empleos, se podrían romper familias y se podría arruinar la reputación.

Mantener aplicaciones de citas siempre conlleva un mayor grado de responsabilidad. La gente confía en estos productos con sus secretos más íntimos a veces, y podemos decir con seguridad que en el caso de las aplicaciones de citas de Cheng Du New Tech Zone, su confianza estaba fuera de lugar. Lo único que pueden hacer ahora es esperar que, a pesar de los hallazgos en el documento de investigación del que hablamos en el primer párrafo, nadie más que los expertos de VPNMentor vieron los datos explícitos.