Miles de usuarios de PhotoSquared se enfrentan a una violación de datos

Como algunos de ustedes ya saben, Noam Rotem y Ran Locar lideran un equipo de investigadores en VPN Mentor que tiene la tarea de un proyecto de mapeo web a gran escala diseñado para descubrir y proteger bases de datos mal protegidas que filtran información confidencial. En los últimos meses, han informado de una serie de violaciones masivas de datos y realmente han demostrado con qué frecuencia las empresas no hacen lo suficiente para proteger los datos de los usuarios. Rotem y Locar han admitido que descubrir quién está filtrando la información a menudo requiere días de investigación y mucho trabajo duro. Sin embargo, con su descubrimiento más reciente, este no fue el caso.

Durante una sesión de escaneo de puertos, el equipo de Rotem y Locar descubrió un depósito de AWS S3 que era de acceso público y no estaba protegido por una contraseña. Contenía un poco menos de 95 GB de datos, y el nombre de su propietario estaba disponible en la URL: PhotoSquared.

¿Qué es PhotoSquared?

Tiene más posibilidades de comprender el alcance de la fuga si sabe lo que hace PhotoSquared. Quiere ser una de las respuestas del siglo XXI a la tienda del desarrollador de fotos. En lugar de ir a una ubicación física y entregar manualmente las fotos que desea en forma impresa, simplemente use la aplicación móvil para elegir sus instantáneas favoritas del rollo de su cámara o de las redes sociales. Un pago en línea más tarde, PhotoSquared imprime sus fotos en tableros de 8 "x 8" y las publica en su dirección. Suena muy conveniente, por lo que probablemente más de 100 mil personas han descargado la aplicación desde Google Play. Sin embargo, el modelo de negocio significa que alguien, en algún lugar, tiene la tarea de manejar los detalles personales y las imágenes favoritas de un gran número de usuarios. Lamentablemente, ese alguien no hizo un muy buen trabajo.

Un cubo S3 mal configurado filtra las fotos y la información personal de cientos de miles de usuarios

El tamaño de la base de datos fue un regalo bastante bueno en cuanto a lo que contenía. Cuando lo abrieron, Noam Rotem y Ran Locar encontraron alrededor de 1 millón de registros que incluían:

• Fotos de los usuarios preparadas para editar e imprimir
• Registros de pedidos y recibos guardados como documentos PDF
• Etiquetas e información de envío
• Nombres de usuarios
• Domicilio y domicilio de entrega

Es difícil decir cuántas personas se ven afectadas por la fuga, pero los investigadores señalaron que la información en la base de datos se recopiló entre noviembre de 2016 y enero de 2020, que es un período de tiempo significativo. Como también señalaron los expertos, las posibles repercusiones son bastante aterradoras.

Una combinación de fotos privadas e información personal (incluidas las direcciones de casa) podría dar a un ladrón potencial una idea bastante buena de la vida de su objetivo. Además de esto, los detalles filtrados pueden actuar como un punto de partida para un reconocimiento adicional y una mayor actividad criminal.

Rotem y Locar descubrieron el cubo desprotegido el 30 de enero y se comunicaron con el desarrollador de la aplicación el 4 de febrero. PhotoSquared tardó diez días completos en proteger la base de datos, pero afortunadamente, ahora está fuera de línea. No hay evidencia de que alguien haya abusado de los datos expuestos, lo que significa que podemos hacer poco más que esperar que todos hayan aprendido sus lecciones.

El incidente es el siguiente en una larga lista de sombríos recordatorios de que, aunque aplicaciones como PhotoSquared traen una buena dosis de conveniencia y novedad a nuestras vidas, usarlas a menudo significa confiarles mucha información personal extremadamente sensible. Esto es algo que probablemente deberíamos tener en cuenta antes de presionar el botón Instalar.

La violación también debería recordarles a los desarrolladores de estas aplicaciones que manejar los datos de cientos de miles de personas es una gran responsabilidad. Errores simples de configuración errónea como el que hizo PhotoSquared deberían ser completamente intolerables.