Dos aplicaciones de Baidu en la tienda Google Play extraían recientemente datos sensibles de los usuarios que podrían ser utilizados para rastrear la ubicación de estos, según la investigación de la Unidad 42 de Palo Alto Networks.
Recurriendo a la ingeniería inversa, los investigadores de Unit 42, la división de investigación de Palo Alto Networks, constataron que tanto la herramienta de búsqueda Baidu Search Box como las aplicaciones Baidu Maps utilizaban un kit de desarrollo de software (SDK) que recogía la dirección MAC de los usuarios, la información del operador y el número de identidad del abonado móvil internacional (IMSI).
Tales datos, al caer en manos “equivocadas”, pueden ser utilizados para acechar, vigilar o incluso acosar a un individuo, observa Palo Alto, agregando que los números IMSI, por ejemplo, podrían permitir a los ciberdelincuentes o a los agentes estatales seguir a alguien, incluso si cambian de dispositivo, ya que los números IMSI pueden utilizarse para identificar de manera exclusiva a un usuario. Es sabido que los intrusos que utilizan capturadores IMSI, que imitan las torres celulares para detectar la ubicación de un usuario, actúan exactamente así. Las direcciones MAC sobreviven incluso los reinicios de fábrica y no pueden ser reiniciadas por los usuarios. Por razones de privacidad, se aconseja a los desarrolladores de aplicaciones Android que no trabajen con direcciones MAC.
“La preocupación al respecto es que se expongan elementos que son específicos sólo para un teléfono individual en sí”, dijo Jen Miller-Osborn, subdirector de la Unidad 42 de Inteligencia de Amenazas. “Las mejores prácticas son típicamente que las aplicaciones no recopilen tal información porque a ese nivel puedes básicamente rastrear a la persona”.
Las aplicaciones dejaron a aproximadamente 6 millones de usuarios en Estados Unidos en situación de vulnerabilidad, ya que se habían descargado en conjunto 6 millones de veces en ese país, dijeron los investigadores en sus hallazgos.
Baidu, con sede en Beijing, es una de las empresas de tecnología más conocidas de China, reconocida por sus servicios de búsqueda y su trabajo continuo en inteligencia artificial. Un portavoz de la empresa dijo en un comunicado: “Baidu se toma muy en serio la privacidad y la seguridad de sus usuarios y los datos sólo se utilizan con la autorización de los usuarios”.
Google retiró las aplicaciones de la Play Store a finales de octubre para hacer frente a las violaciones que la empresa pudo constatar luego de ser contactada por la Unidad 42. Una de las aplicaciones, Baidu Search Box, tiene ahora una versión que cumple con los requisitos de Google y está disponible en la tienda, mientras que Baidu Maps todavía no está disponible, según Unit 42.
El incidente es un recordatorio de que sólo porque una aplicación esté disponible en un mercado oficial de aplicaciones, no significa que protegerá los datos del usuario, comentó Miller-Osborn. Los investigadores de Palo Alto tienen una vasta trayectoria detectando comportamientos cuestionables o directamente delictivos de las aplicaciones móviles, incluyendo la propagación de software malicioso, el robo de credenciales de usuarios y el enganche de su dispositivo en costosos servicios de suscripción.
“Los usuarios no van a ser conscientes de que estos datos se están filtrando – no hay nada que puedan ver desde su propio dispositivo para saber que una de sus aplicaciones está recogiendo estos datos en segundo plano y enviándolos a terceros”, dijo. “Pero es algo de lo que los usuarios deberían ser conscientes. Cuando están descargando cosas, pensamos que se debería decir de forma más explícita que ese tipo de datos se están recogiendo”.
