¡Cuidado! Las aplicaciones de citas podrían exponer fotos explícitas y conversaciones

¿Acepta los términos y condiciones de uso?, generalmente la pregunta viene después de las letras pequeñas en un largo documento de contrato virtual que establece cláusulas entre la empresa dueña de la aplicación tecnológica y el usuario. La respuesta, evidentemente es sí, y a partir de ese momento, el “cliente” queda expuesto a un sinfín de riesgos, sobre todo en términos de privacidad.

Es común que los datos se expongan en línea. Recientemente, datos provenientes de una gran cantidad de aplicaciones de citas que se adaptan a grupos e intereses específicos, fueron compartidos sin el consentimiento de millones de usuarios.

La información fue dada a conocer por los investigadores de seguridad Noam Rotem y Ran Locar, de VPNmentor, empresa encargada de  ofrecer a los usuarios una herramienta realmente honesta, comprometida y útil al navegar por las VPN y la privacidad web.

Se trata de una colección de «cubos» de Amazon Web Services de acceso público, según ellos, cada uno contenía una gran cantidad de datos de una aplicación de citas especializadas diferente, incluidos 3somes, Cougary, Gay Daddy Bear, Xpal, BBW Dating, Casualx, SugarD, Herpes Dating y GHunt.

En total, los investigadores encontraron 845 gigabytes y cerca de 2.5 millones de registros, que probablemente representan datos de cientos de miles de usuarios.  

Intimidad de uso colectivo

La información encontrada por los investigadores es particularmente sensible e incluye fotos y grabaciones de audio sexualmente explícitas.

Prueba de ello son capturas de pantalla de chats privados de otras plataformas y recibos de pagos, enviados entre los usuarios dentro de la aplicación como parte de las relaciones que estaban construyendo.

Y aunque los datos expuestos incluían «información de identificación personal» limitada, como nombres reales, cumpleaños o direcciones de correo electrónico, los investigadores advierten que un hacker motivado podría haber utilizado las fotos y otra información variada disponible para identificar a muchos usuarios.

«Nos sorprendió el tamaño y la sensibilidad de los datos. El riesgo de doxing que existe con este tipo de cosas es muy real: extorsión, abuso psicológico. Como usuario de una de estas aplicaciones, no espera que otras personas ajenas a la aplicación puedan ver y descargar los datos», dice Locar.

Almacenamiento en la nube

Amazon S3 es un servicio de almacenamiento en la nube basado en arquitectura de objetos. Todo esto se logra mediante un proceso de almacenamiento en buckets, o “cubos” en español, en los que cada usuario puede ir colocando los distintos datos y objetos que desee almacenar.

En teoría, los datos almacenados en la plataforma están allí por “descuido”. De hecho, los investigadores no saben si alguien más descubrió el tesoro expuesto antes que ellos.

En la práctica, tal exposición de datos por error es, en el mejor de los casos, un error intrascendente, pero en el peor de los casos, los piratas informáticos pueden cometer una violación de datos en bandeja de plata.

En el caso de este grupo de aplicaciones de citas, la información podría tener un impacto real en la seguridad del usuario, esto si fue robada antes de que el desarrollador la bloqueara.

El llamado de alerta de las empresas es a que si alguien usa una de las aplicaciones afectadas, no hay mucho que se pueda hacer para proteger contra la posibilidad de que los datos sean robados antes de que los investigadores lo descubrieran. De hecho, advierten que cambiar de contraseña probablemente no hará mucho.

Con suerte, el desarrollador de las aplicaciones bloqueó la infraestructura de la nube antes de que alguien obtuviera la información.

Sigue leyendo: