Millones de datos de usuarios se han filtrado a través de backends de Firebase mal configurados, dejando contraseñas en texto plano y más visibles públicamente.
Millones de datos de usuarios se han filtrado debido a una mala configuración base de fuego backends, según un informe de Aplicación. Alrededor de 113 GB de datos en 2271 bases de datos quedaron expuestos públicamente como resultado de una mala configuración. Firebase es una oferta de backend como servicio de Google que, según se informó, era la SDK de más rápido crecimiento en 2017. El servicio es muy popular entre los principales desarrolladores de Android. Proporciona mensajería en la nube, notificaciones automáticas, bases de datos, análisis, publicidad y mucho más que los desarrolladores pueden utilizar, todo ello impulsado por los servidores de alto rendimiento de Google. Sin embargo, parece que muchos desarrolladores están haciendo un mal uso de él.
Según el informe, a partir de enero de 2018, los investigadores escanearon aplicaciones móviles que utilizan Firebase para su funcionalidad de back-end. Después de escanear un poco más de 2,7 millones de aplicaciones de iOS y Android, descubrieron que alrededor de 28 mil de ellas usaban Firebase. De esas aplicaciones, unas 3.000 estaban filtrando sus datos en una base de datos visible públicamente que podía encontrarse monitoreando la comunicación de la aplicación con un servidor. Es más, las descargas totales de estas 3.000 aplicaciones superaron los 620 millones, lo que sugiere que algunas aplicaciones de muy alto perfil también son posibles infractores. Los tipos de datos que se filtraron se encuentran a continuación.
- 2,6 millones de contraseñas e ID de usuario en texto plano
- Más de 4 millones de registros de PHI (Información de salud protegida) (mensajes de chat y detalles de recetas)
- 25 millones de registros de ubicación GPS
- 50 mil registros financieros que incluyen transacciones bancarias, de pago y de Bitcoin
- Más de 4,5 millones de tokens de usuario de Facebook, LinkedIn, Firebase y almacenes de datos corporativos
En la actualidad, no hay forma de saber si sus datos también se han filtrado, pero siempre es más seguro asumir lo peor, por lo que debe actuar en consecuencia. Aplicación afirma que notificaron a Google antes de publicar el informe, proporcionando la lista de aplicaciones afectadas junto con los enlaces a las bases de datos visibles públicamente.
Sólo podemos esperar que la lista de aplicaciones se publique más tarde, ya que actualmente los usuarios no saben si su información es visible públicamente o no. Si bien es de suponer que son confiables, los ojos tanto de Google como de los investigadores habrán visto los datos. Recomendamos cambiar sus contraseñas como medida de precaución hasta que obtengamos más información.
Fuente: Appthority
Vía: Bleeping Computer