El servicio de monitoreo parental TeenSafe filtra miles de contraseñas de niños

Un servicio diseñado para ayudar a los padres a monitorear la actividad en internet de sus hijos en dispositivos iPhone y Android ha filtrado miles de contraseñas de usuarios, informa ZDNet. El servicio, TeenSafe, pretende ser una aplicación de monitoreo “segura” tanto para iOS como para Android diseñada para permitir a los padres ver las conversaciones de mensajes de texto de sus hijos, monitorear a quién están llamando, acceder a su ubicación e historial de navegación web, y más. Sin embargo, parece que para los dispositivos iOS el servicio depende de que los padres proporcionen las contraseñas de Apple ID de sus hijos, que se almacenan en los servidores de la compañía, posiblemente para acceder a los datos de iCloud.

Sin embargo, un investigador de seguridad con sede en el Reino Unido, Robert Wiggins, descubrió la semana pasada que TeenSafe había dejado uno o más de sus servidores desprotegidos y accesibles por cualquier persona sin siquiera un requisito de contraseña. ZDNet alertó a la compañía, que tomó los servidores afectados fuera de línea, con un portavoz de TeenSafe declarando: “Hemos tomado medidas para cerrar uno de nuestros servidores al público y comenzamos a alertar a los clientes que podrían verse potencialmente afectados.” Los servidores en cuestión almacenaban bases de datos que contenían las direcciones de correo electrónico de los padres junto con el Apple ID correspondiente de su hijo, el nombre del dispositivo y la contraseña en texto plano. Aunque ninguno de los registros contenía datos de contenido personal como fotos, mensajes o ubicaciones, la contraseña de Apple ID sería suficiente para permitir que alguien accediera a la información personal de la cuenta de iCloud del niño y las copias de seguridad de iCloud; TeenSafe requiere notablemente que la autenticación de dos factores esté desactivada para poder usar el servicio.

ZDNet señala que antes de que el servidor fuera desconectado, contenía al menos 10,200 registros de datos de clientes de los últimos tres meses, aunque añade que algunos eran duplicados. ZDNet contactó a una muestra de una docena de padres cuyas direcciones de correo electrónico estaban incluidas en los datos filtrados y confirmó que la información —incluida la dirección de correo electrónico de su hijo— era al menos recientemente, si no actualmente, precisa. TeenSafe afirma tener más de un millón de padres usando el servicio, y no se sabe si existen otros servidores expuestos que puedan haber contenido datos adicionales, ni por qué se almacenaron datos sensibles en texto plano.