Mobifriends deja al descubierto los datos de sus 3,7 millones de usuarios

Los detalles personales de 3,68 millones de usuarios que usan la app de dating y para hacer amigos Mobifriends han quedado al descubierto y están disponibles para todos aquellos que los quieran descargar.

Estos datos fueron obtenidos en una brecha de seguridad que tuvo lugar en enero de 2019, según se hace eco Zdnet. En este mes un hacker los puso a la venta en un foro de hacking en la Dark Web. En estas semanas los datos han sido compartidos en numerosos foros online y en ocasiones incluso bajo descarga gratuita.

Risk Based Security (RBS), la empresa de ciberseguridad que se percató de la disponibilidad de este contenido sensible, asegura que la publicación de los datos robados fue realizada el 12 enero por parte de un ciberdelincuente denominado ‘DonJuji’.

La noticia ha trascendido en algunos medios internacionales hace unos días, pero no ha tenido ninguna repercusión en la prensa española hasta ahora.

En principio los datos que han quedado expuestos no contienen mensajes privados, imágenes o contenidos relacionados con temas sexuales, pero sí otros detalles sensibles como correos electrónicos, números de teléfono, fechas de nacimiento, información de género, nombres de usuarios y actividad en la web o la aplicación. También se incluyen las contraseñas de acceso al servicio.

Mobifriends es una empresa española que se fundó en 2005, tiene sede en Barcelona y cuyo undador y CEO es Lluís Carreras. El servicio se puede usar a través de la web y mediante una aplicación móvil que solo está disponible para Android.

La compañía no ha hecho declaraciones públicas respecto al agujero de seguridad y la venta de sus datos personales por el momento. Desde Applicantesnos hemos tratado de poner en contacto con la empresa y sus responsable sin éxito.

***Actualización 12.17h: Lluis Carrreras nos ha remitido un email en el que habla de cómo están afrontando el problema desde Mobifriends y cuál habría sido su origen.

A principios de mayo nos avisaron de la publicación ilegal de nuestra tabla de usuarios que contiene nombres, emails, contraseñas encriptadas, fecha de nacimiento y género, a través de otro servidor.

Hemos investigado cómo consiguieron entrar y hemos cerrado inmediatamente el acceso. La entrada se produjo a principios de enero por un fallo de seguridad de Comvive, la empresa donde tenemos los servidores, y que recientemente afectó a otras webs que también tienen los servidores con ellos.

Para evitar accesos ilegales a dichas cuentas, hemos borrado las contraseñas de todos los usuarios para que solo los usuarios a través de su email puedan crearse una nueva contraseña y acceder a sus perfiles.

Mejoramos el sistema de encriptación, y enviamos un email a todos los usuarios informandolos de lo ocurrido.

Actualmente continuamos con la auditoría de seguridad para mejorar aún más el sistema y evitar que volvamos a tener este tipo de problema.