Nuevamente el sistema operativo móvil por excelencia es noticia. Hacía mucho que no hablábamos de un problema de seguridad. Muchas aplicaciones disponibles para los equipos Android no poseen una seguridad adecuada. Los usuarios de un teclado desarrollado por la empresa AI.Type se han visto afectados por un fallo de seguridad en las bases de datos de la empresa.
¿Por qué motivo ha sucedido esto, si solo es un teclado? El problema es que disponía alguna función más que la de servir de software de entrada en el sistema operativo móvil de los de Mountain View. Para ser más exactos, el teclado ha servido como keylogger, permitiendo la recopilación de la información introducida en cada dispositivo y su posterior envío a las bases de datos MongoDB, no destacando por su buena configuración de seguridad.
La compañía ha salido al paso de esta información indicando que el teclado software no recopila información de los formularios, y que aquella que sí se recoge se envía de forma cifrada, por lo que no existen riesgos para la seguridad de la información de los usuarios. Pero esto no coincide con el hallazgo realizado por la empresa de seguridad Kromtech. La información está disponible sin ningún tipo de seguridad, manteniendo las credenciales por defecto de los usuarios de la base de datos MongoDB. IMEI, resolución de pantalla, nombres completos, direcciones de correo electrónico, fechas de cumpleaños, fotos de perfil, contactos y credenciales de acceso a los diferentes servicios es parte de la información que han podido encontrar de un simple vistazo.
577 GB recopilados por este teclado para Android
Hemos hablado de un número de dispositivos superior a los 30 millones. Sin embargo, ¿en tamaño de base de datos en qué número se traduce? Los expertos en seguridad de la empresa de Kromtech han estimado que la cifra sería superior a los 577 GB de información contenido en la base de datos MongoDB expuesta. Indican que al menos seis millones de entradas de esa base de datos poseen el nombre y apellidos de la persona, el teléfono de contacto y la dirección de correo electrónico.
Desde el punto de vista comercial, esto posee una gran salida en el mercado negro, sobre en estas fechas, donde las campañas de spam se encuentran a la orden del día.
Muchos usuarios se preguntan por qué reciben correos electrónicos de este tipo si no se suscriben ni se dan de alta en un servicio sospechoso. Aquí tenemos la respuesta.
Acceso completo al dispositivo
En más de una ocasión hemos indicado que resulta fundamental repasar los permisos solicitados por la aplicación que se está instalando. Muchos usuarios no se fijan y videojuegos, aplicaciones de vídeos o teclados para el sistema operativo solicitan demasiados permisos, lo que se traduce en el acceso innecesario a información y hardware del equipo.
El teclado para Android de la empresa AI.Type reclama acceso a la información que se está introduciendo a través del teclado. El propio sistema operativo advierte al usuario de que este aspecto podría ser un problema para la seguridad.
Lo realmente llamativo es que este software también está disponible para iOS y con solicitud amplia de permisos en el sistema. Por el momento no se sabe si la recopilación afecta solo a los usuarios del sistema operativo móvil de los de Mountain View.
Fuente:https://www.redeszone.net/2017/12/06/teclado-android-recopila-informacion-mas-30-millones-dispositivos/
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
