Un fallo de seguridad alarmante
Recientemente, se ha descubierto un grave problema de seguridad en Rapido, una popular plataforma de transporte en India. Este fallo, identificado por el investigador de seguridad Renganathan P, ha expuesto información personal sensible de usuarios y conductores. La vulnerabilidad se relaciona con un formulario en el sitio web de Rapido, diseñado para recopilar comentarios de los usuarios de auto-rickshaw.
Detalles de la exposición de datos
El formulario comprometido reveló nombres completos, direcciones de correo electrónico y números de teléfono de los individuos. Según el investigador, esta información estaba vinculada a una de las API de Rapido, que tenía como objetivo recopilar y compartir datos del formulario de comentarios con un servicio externo. TechCrunch verificó la exposición al enviar un mensaje genérico a través del formulario, el cual apareció rápidamente como un registro en el portal expuesto.
Riesgos asociados a la filtración de datos
Hasta el jueves, el portal expuesto contenía más de 1,800 respuestas de comentarios, incluyendo una gran cantidad de números de teléfono de conductores y un número menor de direcciones de correo electrónico. El investigador advirtió que esta situación podría haber dado lugar a un gran fraude, donde estafadores o hackers podrían haber contactado a los conductores para llevar a cabo ataques de ingeniería social a gran escala. Además, los datos expuestos podrían haber terminado en la dark web si cayeron en manos equivocadas.
Respuesta de Rapido ante la situación
Tras ser contactado por TechCrunch, Rapido tomó medidas inmediatas y configuró el portal expuesto como privado. El CEO de Rapido, Aravind Sanka, emitió una declaración en la que mencionó que, como parte de sus procedimientos operativos estándar, estaban solicitando comentarios valiosos de su comunidad de interesados sobre sus servicios. Sin embargo, Sanka también indicó que habían comprendido que los enlaces de la encuesta habían llegado a algunos usuarios no deseados del público.
La naturaleza de los datos recopilados
En su declaración, Sanka subrayó que los números de teléfono y las direcciones de correo electrónico recopilados eran de naturaleza “no personal”. Sin embargo, la percepción pública sobre la seguridad de los datos en plataformas digitales sigue siendo un tema crítico, y este incidente podría afectar la confianza de los usuarios en Rapido y en otras aplicaciones similares.
