krebsonsecurity-mspy-expone-datos-bdd

mSpy, es un software privativo usado como monitoreo de control parental en dispositivos móviles y computadores, aunque, el servicio asegura ayudar a más de un millón de clientes a espiar en los dispositivos de sus hijos y parientes de forma segura, una actividad reciente lo ha dejado en entredicho. Pues un investigador asegura que la plataforma ha filtrado millones de registros confidenciales en línea.

De acuerdo con el sitio KrebsOnSecurity, el investigador de seguridad Nitish Shah, los contactó hace menos de una semana, para mostrarles una base de datos abierta de mSpy, donde se pueden ver los datos de usuarios que pagan por rastrear la actividad de sus hijos.

Shah explicó al sitio, que cualquiera puede filtrar los millones de datos de usuarios registrados, ya que, según el investigador, el acceso a la DB no requería autenticación. Por lo que datos como contraseñas, registros de llamadas, mensajes de texto, contactos, notas y datos de ubicación recopilados secretamente, de teléfonos que ejecutan el software espía quedaron expuestos.

Además, la base de datos incluía el nombre de usuario y autenticación de Apple iCloud de los iPhone con mSpy y lo que parecen ser referencias a los archivos de copia de seguridad de iCloud. La información del navegador y la dirección de Internet de las personas que visitan el sitio web de mSpy, también quedó expuesta.

Lo que lo hace preocupante, ya que cualquier maleante pudo haber accedido a los mensajes de Whatsapp y Facebook guardados en los dispositivos móviles que usaran mSpy.

Aunque, la db se desconectó de los servidores tras la notificación, se supo que en las últimas 12 horas, la base de datos contenía millones de registros, incluídos la clave de cifrado privada de cada cliente que inició sesión en el sitio mSpy o compró una licencia mSpy en los últimos seis meses.

Esta clave privada permitiría a cualquier persona rastrear y ver detalles de un dispositivo móvil que ejecuta el software,” dijo Shah.

Shah dijo que cuando trató de alertar a mSpy, la compañía hizo caso omiso: “Estuve charlando con su equipo de soporte en vivo, hasta que me bloquearon cuando les pedí que me pusieran en contacto con su CTO o jefe de seguridad“, dijo el investigador.

El sitio web también contactó a mSpy via email y respondieron: “Hemos estado trabajando arduamente para proteger nuestro sistema de posibles filtraciones, ataques y divulgación de información privada“, escribió Andrew. “Todas las cuentas de nuestros clientes están encriptadas de manera segura y los datos se eliminan una vez en un corto período de tiempo. Gracias a usted hemos evitado esta posible violación y de lo que pudimos descubrir los datos de los que está hablando podrían ser una cantidad de correos electrónicos de los clientes y posiblemente algunos otros datos. Sin embargo, solo pudimos encontrar que solo había unos pocos puntos de acceso y actividad con los datos.

Como señalan en la fuente, no es la primera vez que mSpy presenta este tipo de vulnerabilidad, pues en mayo de 2015, su base de datos fue hackeada y los datos de los clientes se publicaron en la Web Oscura. Evidentemente, la compañía negó lo sucedido durante semanas y aunque en su momento se comprometió a mejorar su seguridad tal parece que no se ha esforzado lo suficiente.

Dada la reputación de dicha plataforma, resulta irónico que alguien que pague por espiar a otra persona, corra el riesgo de ser hackeado.

Más en TekCrispy