Personal al público: cómo una simple llamada de taxi se convierte en pérdida de datos

Rapido, la plataforma india para solicitar taxis, recientemente solucionó una vulnerabilidad que exponía datos personales de usuarios y conductores. El problema estaba relacionado con un formulario web de comentarios que proporcionaba acceso a nombres completos, direcciones de correo electrónico y números de teléfono.

La vulnerabilidad estaba vinculada a una de las API de Rapido, que enviaba los datos del formulario de comentarios a un servicio externo. Los periodistas de TechCrunch verificaron la fuga enviando un mensaje a través del formulario, el cual pronto apareció en un portal abierto.

Al momento del descubrimiento, el portal contenía más de 1800 registros, incluyendo números de teléfono de conductores y algunas direcciones de correo electrónico. Los investigadores señalan que tal fuga podría derivar en llamadas fraudulentas, ataques de ingeniería social o la venta de datos en la darknet.

Tras ser notificados por TechCrunch, la empresa Rapido rápidamente hizo que el portal no estuviera accesible al público. El director general de Rapido, Aravind Sanka, declaró que los números de teléfono y direcciones de correo electrónico estaban disponibles sin estar vinculados a los nombres completos de los clientes, lo que reduce el riesgo potencial. Actualmente, la situación ya está bajo control.