Investigadores de Cybernews han dado a conocer una filtración de datos que afecta a los usuarios de la impresora portátil Lifeprint. Esta marca produce impresoras de fotos instantáneas vinculadas a iPhone y Android, con las cuales los usuarios imprimen imágenes y GIF directamente desde sus smartphones.
La filtración está relacionada con una aplicación móvil que usan todos los usuarios de estas impresoras para materializar sus fotos en papel o compartir las imágenes o vídeos con la impresora de otra persona. La app en cuestión supera las 100.000 descargas en Google Play.
Un bucket mal configurado y sin autenticación sería el origen de la fuga. Cualquier internauta que supiera donde buscar podría haber accedido a más de 8 millones de fotos únicas, datos de datos de usuario exportados en formatos JSON y CSV, y listas de nombres de usuario, direcciones de email y estadísticas de impresión de más de 100.000 usuarios.
Los investigadores también se percataron de que el depósito de la nube pública contenía varias versiones del firmware de la impresora. Dentro de los archivos se encontraba una clave de cifrado privada, en texto plano, que parecía utilizarse para firmar el firmware.
“Este es un ejemplo clásico de lo que no se debe hacer con la infraestructura del IoT”, ha afirmado un investigador de Cybernews.
“Esta filtración muestra múltiples desviaciones de las mejores prácticas, como no segregar adecuadamente los datos de los usuarios, publicar claves criptográficas junto con el firmware y no emplear controles de acceso adecuados para garantizar que solo los usuarios previstos puedan acceder a sus archivos y datos”, ha agregado.
Por otro lado, los usuarios afectados corren el riesgo téorico de que el firmware malicioso se apodere de sus dispositivos.
La fuga fue descubierta a finales de julio y se contactó al correspondiente CERT a principios de agosto.
Ahora los usuarios de Lifeprint se enfrentan a múltiples riesgos, como la exposición de la identidad a través de la filtración de información personal. Las fotos filtradas suelen ser íntimas, exponiendo la vida privada del usuario a cualquier persona en internet. Además, la información personal filtrada podría utilizarse para robo de identidad, acoso y ataques de doxing, según denuncia Cybernews.
