Cuando se permite que una aplicación utilice la ubicación del dispositivo, por ejemplo en una aplicación de citas, es razonable suponer que la ubicación es generalizada, por ejemplo: “situado en Tampa a 23 millas”. Con una población de unos 400.000 habitantes, localizar la ubicación exacta de alguien debería ser una tarea difícil. Sin embargo, la semana pasada en Black Hat USA, un equipo de investigación belga demostró cómo algunas aplicaciones de citas filtraban inadvertidamente datos de ubicación exacta de los usuarios, con los riesgos y violaciones a la privacidad que esto significa.

“Si bien ya se informó responsablemente del problema a las numerosas aplicaciones de citas afectadas y el problema se ha resuelto, este caso funciona como recordatorio de cómo los hábitos aparentemente inofensivos pueden poner en peligro la privacidad”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Se demostró que a partir de los datos de “X millas de distancia” podían triangular una ubicación exacta del usuario. Seleccionando un perfil de destino, dibujaron un círculo con su ubicación en el centro, hasta la distancia de 23 millas. Luego falseando su ubicación dibujaron un segundo círculo superpuesto al anterior en algún punto. Con una tercera ubicación falseada, y un tercer círculo trazado en el lugar donde se encuentran los tres, pudieron determinar la ubicación exacta del usuario objetivo, que nunca se enteró de dicha filtración.

“La misma técnica se puede utilizar cuando se establecen límites de ubicación; por ejemplo, seleccionando todos los perfiles a 8 km. Si repitiéramos el proceso anterior podrá identificarse la ubicación de un perfil. Solo las aplicaciones o servicios que utilizan la ubicación exacta tienen este problema, si la ubicación se redondea a, por ejemplo, una milla, entonces la ubicación exacta no se puede identificar utilizando este método”, complementa el investigador de ESET.

Se examinaron 15 aplicaciones de citas en busca de problemas de privacidad, como el descrito anteriormente, a la vez que analizaban sus interfaces API, políticas de privacidad y otros datos. La investigación se centró específicamente en las aplicaciones de citas, pero muchos servicios y aplicaciones utilizan la ubicación de la misma manera. Por ejemplo, en las aplicaciones de juegos, ya que es posible en varias versiones encontrar a otros jugadores del mismo juego que estén cerca.

“Destacar el problema utilizando las aplicaciones de citas como ejemplo hace el caso más llamativo, ya que todos entendemos el problema de los acosadores y depredadores que pueden utilizar estas plataformas. Sin embargo, es importante que todas las aplicaciones y servicios revisen el uso que hacen de la localización para asegurarse de que ocultan suficientes datos de localización como para que sea imposible calcular la ubicación exacta de alguien”, advierte Gutiérrez Amaya.

ESET comparte algunas medidas para mitigar el problema y limitar la precisión con la que se comparte la ubicación al utilizar los dispositivos móviles

• Cuando una aplicación pide permiso para utilizar la ubicación al instalarla, se puede cambiar el permiso para desactivar el uso compartido de la ubicación exacta. En iOS se utiliza una ubicación a tres kilómetros de la posición exacta, lo que es una variante suficiente para evitar que alguien triangule la posición.
• En los dispositivos Apple, ir a “Ajustes”, “Privacidad y seguridad” y, a continuación, a “Servicios de localización”; cada aplicación y su permiso correspondiente pueden mostrarse y editarse según sea necesario.
• Si se utiliza un dispositivo Android, mantener pulsado el icono de la aplicación y en “Información de la aplicación” encontrar “Permisos”, incluido “Localización”, donde se podrá seleccionar la opción adecuada.

Coordenadas de contacto con ESET en Venezuela: https://www.eset.com/ve/. También sus redes sociales: Instagram (@esetla) y Facebook: (ESET)

DOBLE LLAVE

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en Twitter e Instagram puedes conocer diariamente nuestros contenidos

De acuerdo con información de VE Sin Filtro, una iniciativa dedicada al seguimiento de casos de hackeo y similares, los datos que fueron secuestrados se publicaron por parte de los atacantes, integrantes del grupo MedusaBlog, que no recibieron los USD 5 millones en BTC que exigían.

“La información liberada incluiría la lista de empleados, documentos de identificación, documentos financieros, fiscales, informes, facturas, contratos, acuerdos de suscriptores y sus datos personales”, dice VE Sin Filtro.

Recientemente, estos hackers divulgaron los datos privados de la Comisión Nacional de Valores (CNV) de Argentina, luego de un ataque que no fue rescatado.

#AHORA | Los datos de #Digitel, secuestrados por el ransomware #Medusa, fueron publicados luego de que los atacantes exigieran el pago de $5 millones para borrarla. Estamos analizando todos los archivos.
La información liberada, según #Medusa incluiría lista de empleados,…

— VE sin Filtro (@vesinfiltro) February 12, 2024

Fran Monroy opina sobre la supuesta fuga de datos de clientes

El periodista venezolano especializado en tecnología y usuario de Digitel, Fran Monroy Moret, habló con el medio CriptoNoticias sobre el caso de esta empresa telefónica. Dijo que cabe la posibilidad de que la compañía viva cientos de ataques nuevos, ya que la data privada de la empresa está siendo analizada “por mucha gente”.

El comunicador y especialista indicó que gran parte de la información que fue filtrada es la corporativa y de los usuarios. Estos últimos, en donde “está el desastre”. Según él, los hackers podrían publicar datos sensibles como cédulas, huellas digitales, fotografías, nombres y otras informaciones de los clientes en la web.

Monroy Moret sugiere, sin embargo, que hasta ahora sigue siendo “bajo” el nivel de información que se ha filtrado. “Pero podría ser mucho más”, advirtió. Como lo ve, MedusaBlog “sí pudo haber tomado información de los más de cinco millones de usuarios de Digitel”.

El periodista señaló que este ataque puede repetirse en cualquier otra entidad del país, más allá de una de empresa telefónica. No obstante, llama a la calma y a esperar el desarrollo de los acontecimientos.

Debido a la dificultad de conocer el verdadero impacto de la filtración de datos sensibles a la red, es recomendable que los usuarios de Digitel procedan a cambiar sus contraseñas, cambiar el número de teléfono de los servicios vinculados y, también, que resguarden sus correos electrónicos y cuentas en distintas plataformas. Asimismo, se aconseja revisar la configuración de privacidad de los dispositivos y las aplicaciones.

De interés: Digitel toma medidas preventivas ante amenazas de seguridad

DOBLE LLAVE

Con información de Criptonoticias, otros medios y redes sociales

Fuente de imagen referencial: Markus Spiske en Unsplash

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en Twitter e Instagram puedes conocer