La aplicación de citas Raw expone datos de usuarios, incluyendo ubicación y preferencias sexuales

La aplicación Raw filtró ubicaciones de usuarios y datos personales debido a un grave fallo de seguridad, generando preocupación sobre su nuevo dispositivo de seguimiento de relaciones impulsado por IA.

Un grave fallo de seguridad en la aplicación de citas Raw expuso los datos personales y de ubicación de los usuarios a cualquier persona en línea, tal como reveló por primera vez TechCrunch. Los datos expuestos revelaron los nombres de los usuarios, fechas de nacimiento, preferencias sexuales, y las coordenadas GPS exactas que permiten el seguimiento de la ubicación hasta el nivel de la calle.

Raw, lanzado en 2023, alcanzó más de 500,000 descargas mientras anima a sus usuarios a construir relaciones auténticas al requerir la subida diaria de selfies.

TechCrunch señala que esta semana, la compañía también anunció un dispositivo portátil, el Raw Ring, afirmando que puede monitorear la frecuencia cardíaca de una pareja y ofrecer percepciones generadas por IA, potencialmente para detectar infidelidades.

A pesar de las afirmaciones de utilizar encriptación de extremo a extremo, TechCrunch no encontró tales protecciones. Su análisis mostró que los datos del usuario podían accederse libremente a través de un navegador utilizando una dirección web conocida.

“Todos los puntos finales previamente expuestos han sido asegurados, y hemos implementado salvaguardas adicionales para prevenir problemas similares en el futuro”, dijo Marina Anderson, cofundadora de Raw, por correo electrónico a TechCrunch.

Cuando se le preguntó, Anderson admitió que la aplicación no ha pasado por ninguna auditoría de seguridad de terceros. Agregó que la compañía aún está investigando y presentará “un informe detallado a las autoridades de protección de datos pertinentes bajo las regulaciones aplicables”.

Sin embargo, TechCrunch señala que no confirmó si se notificaría a los usuarios individualmente, o si se actualizará la política de privacidad.

TechCrunch explica que este tipo de vulnerabilidad encontrada se conoce como referencia insegura a un objeto directo (IDOR, por sus siglas en inglés) – un error común pero peligroso. Esto ocurre cuando la aplicación utiliza identificadores fácilmente adivinables, como números o nombres de archivos, para controlar el acceso a los datos.

Por ejemplo, si el perfil de un usuario se accede a través de una URL con un número al final (como /perfil/123), un atacante podría cambiar ese número para ver el perfil de otra persona (por ejemplo, /perfil/124). Sin las adecuadas comprobaciones de seguridad, pueden explotar esto y acceder o modificar datos a los que no deberían tener acceso.

Las investigadoras de seguridad de TechCrunch detectaron el fallo a través de una prueba con datos y ubicación simulados que reveló la fuga en solo unos minutos. El fallo permitía a los usuarios acceder a los perfiles modificando un solo número en la dirección web de la aplicación antes de que los desarrolladores solucionaran el problema.

A pesar de la solución, persisten las preocupaciones sobre las prácticas de datos de Raw y el potencial de su nuevo dispositivo para la vigilancia invasiva.