Los investigadores de la firma de seguridad Avast publicaron un informe relacionado con Firebase, una plataforma para el desarrollo de aplicaciones web y apps móviles de Google. Esta es una plataforma que facilita el desarrollo de complejas aplicaciones, especialmente proyectos para el sistema operativo Android.
En julio de 2021 la firma concluyó una investigación de meses, llegando a analizar hasta 180,300 instancias de Firebase y descubriendo que al menos 19,300 de estas implementaciones (más del 10% de las instancias analizadas) estaban completamente expuestas. Estos recursos exponen los datos de usuarios debido a múltiples errores de configuración por parte de los desarrolladores, dejando vulnerables a los usuarios de estas aplicaciones.
Estas direcciones se extrajeron tanto estática como dinámicamente de diferentes fuentes, principalmente de aplicaciones de Android desarrolladas en Firebase.
Debido a la naturaleza de la información expuesta, los usuarios de las apps vinculadas a estos proyectos pueden verse expuestos a severos riesgos. Según el reporte, algunas implementaciones exponen toda clase de información confidencial, incluyendo nombres, fechas de nacimiento, números telefónicos, direcciones email, detalles de ubicación y, en casos extraordinarios, contraseñas en texto sin formato.
Cabe mencionar que muchos de estos riesgos dependen del trabajo del desarrollador. Si se hace un uso negligente de la plataforma y los datos de usuarios, los actores de amenazas tendrán un trabajo mucho más fácil.
Los expertos de Avast señalan que el problema se extiende a los usuarios en diversas regiones del mundo, incluyendo América Latina, la Unión Europea, Rusia y el sur de Asia. Dado que las bases de datos de Firebase permiten almacenar información de aplicaciones de paga, el riesgo incrementa para los usuarios afectados.
Por obvias razones este análisis sólo consideró una muestra de todas las instancias de Firebase en existencia. En realidad, Avast cree que hasta un 11% de todos los proyectos en esta plataforma de desarrollo podrían verse afectados de forma similar en la actualidad.
La investigación fue presentada a Google, que se comprometió a notificar a los desarrolladores afectados, recomendando implementar algunas correcciones en su actual política de uso de Firebase. Por fortuna, la compañía ya cuenta con algunas funciones de seguridad adicionales para la protección de datos en Firebase, incluyendo el uso de notificaciones y alertas vía email sobre posibles errores de configuración.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
