Boomoji, una popular app para crear emojis animados en 3D, ha expuesto la lista de contactos y los datos de ubicación de millones de usuarios.
De acuerdo con un informe del medio estadounidense TechCrunch, la brecha de seguridad se ha producido debido a que el desarrollador chino de la herramienta, Nixi Technology Co.,Ltd, dejó sin contraseñas el acceso a las bases de datos de ElasticSearch (una base de datos con sede en Estados Unidos), que contiene la información de sus clientes internacionales, y una base de datos con sede en Hong Kong, donde se alojan los datos de los usuarios chinos.
«Cualquiera que supiera dónde buscar podía acceder, editar o eliminar la base de datos utilizando su navegador web», escribe TechCrunch. «Y, debido a que la base de datos estaba listada en Shodan, un motor de búsqueda de dispositivos y bases de datos, se encontraban fácilmente con unas pocas palabras clave».
Las bases de datos almacenaban información de unos 5.3 millones de usuarios de iOS y Android, con su nombre, género, país, modelo de móvil, ID de Boomoji y centro de estudios. La aplicación permite a los estudiantes indicar la escuela a la que asisten para encontrar a sus compañeros, de forma que en muchos casos maneja este dato.
Además, en el caso de 375.000 usuarios, también se incluían datos precisos de localización. Otro de los detalles más preocupantes es que la base de datos contenía una tabla con más de 125 millones de contactos de las personas que han autorizado el acceso de la app a su agenda telefónica, que se almacenan en texto plano sin encriptar.
10 trucos que dejarán tu móvil Android como nuevo
Cuando el medio estadounidense descubrió el problema, se puso en contacto con el desarrollador de Boomoji para informarle, quien respondió que las bases de datos habían sido creadas con fines de prueba, algo que TechCrunch considera que no es cierto.
Esta es la última de una serie de brechas de seguridad relacionadas con ElasticSearch, un popular software de base de datos y búsqueda de código abierto.