Millones de imágenes y videos de bebés vendidos en deep web

Los incidentes de seguridad informática ahora afectan incluso a los bebés. Debido a una base de datos de Elasticsearch sin protección, millones de videos e imágenes de bebés almacenadas por la app móvil Peekaboo Moments se encuentran a la venta en foros de hacking en deep web. La base de datos no fue protegida adecuadamente por Bithouse Inc., compañía desarrolladora de la app. El reporte fue presentado por Dan Ehrlich, director de la firma de seguridad informática Twelve Security.

En su reporte, el investigador
menciona que al momento del hallazgo, la base de datos de Peekaboo Moments
contenía al menos 70 millones de archivos de registros (equivalentes a más de
100GB de información). Esta información incluye un historial de actividad en la
plataforma, como inicios de sesión, carga de datos, entre otros detalles.

Respecto a la información personal
expuesta, el reporte de seguridad informática indica que se comprometieron
detalles como:

• Nombres completos de los usuarios
• Dirección email
• Información sobre el dispositivo donde se
  instaló la app
• Enlaces a contenido de medios (fotos y videos)
  alojado en Alibaba Cloud

El investigador afirma que casi 900 mil direcciones email fueron expuestas durante el incidente.

La amenaza no termina ahí, pues la app también transmite datos sensibles que, en un escenario complejo, podrían afectar a los bebés. Peekaboo Moments tiene un rastreador de crecimiento, lo que permite a los usuarios conocer la estatura y el peso de sus bebés, además de que, en muchos casos, los registros incluyen su fecha de nacimiento. “Apenas tienen unos cuantos meses de edad y estos bebés ya sufrieron su primera brecha de datos“, agrega Ehrlich.

A pesar de que sus
desarrolladores afirman que Peekaboo Moments es un espacio seguro para
resguardar fotos y videos de los bebés, el incidente demuestra que la compañía
ha incurrido en errores básicos de seguridad informática, exponiendo los datos
e información almacenada.

En su perfil de Google Play Store, la compañía se jacta de almacenar el contenido de sus usuarios de forma segura: “Entendemos lo importantes que son estos momentos para nuestros usuarios. Su privacidad de datos es una de nuestras prioridades, por lo que sus fotos y videos serán almacenados en un espacio seguro, fuera del alcance de alguien ajeno a su familia o amigos”. 

Los investigadores aún no tienen
claro por cuánto tiempo permaneció expuesta la base de datos, además se ignora
si alguien accedió o logró extraer la información. Además, a pesar de los
múltiples intentos, los investigadores no han logrado contactar a Jason Liu,
CEO de Bithouse Inc. Asimismo, se han enviado múltiples correos electrónicos a
la compañía, aparentemente establecida en China, esfuerzo que también ha
resultado infructuoso.

Troy Hunt, experto en seguridad
informática y fundador de la plataforma Have
I Been Pwned, menciona que, a pesar de que esta clase de incidentes ocurren
con frecuencia, el hecho de que esta base de datos almacenara información sobre
los bebés de los usuarios podría exponer a los afectados a nuevas variantes de
ataque valiéndose de la información y el contenido expuesto.

Otro de los riesgos en el uso de
esta app está relacionado con una función para exportar contenido desde
Facebook a Peekaboo Moments, lo que implica que las claves API de Peekaboo
Moments para la red social también están expuestas. Esta información podría
permitir a un atacante acceder al contenido de Facebook del usuario de la app
de Peekaboo, asegura Ehrlich.

Acorde a información del
Instituto Internacional de Seguridad Cibernética (IICS), la app fue lanzada en
2012 y ha sido descargada más de un millón de veces desde Google Play Store.
Peekaboo Moments es un servicio gratuito, aunque la compañía  genera ganancias ofreciendo almacenamiento
adicional por cifras a partir de los 9 dólares cada trimestre. Aún se espera
conocer la postura oficial de la compañía respecto al incidente.

Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en programas de recompensas, protección de datos y la seguridad de datos. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.