Hackers ingresan a la App de salud de Beijing y roban fotografías e información de miles de cuentas

Hackers chinos aprovecharon un error en el sistema de códigos de salud de la ciudad de Beijing para obtener fotografías y resultados de pruebas de COVID-19 de miles de personas, para luego ponerlos a la venta en internet.

Los ladrones apuntaron principalmente a datos y fotografías de celebridades chinas. La falla de seguridad que aprovecharon les permitió corromper las cuentas de los usuarios de la aplicación Health Kit, una herramienta de seguimiento de coronavirus diseñada por el gobierno de la capital china para asignar códigos de color (verde, amarillo o rojo), los cuales indican el estado de salud de los residentes.

Simplemente ingresando el nombre completo del usuario y su número de identificación de 18 dígitos, los delincuentes informáticos podían obtener acceso completo a los registros de pruebas de COVID-19 de las víctimas, y los detalles de cualquier prueba futura agendada que hubiesen reservado, según Hongxing News (Estrella Roja en mandarín), un sitio de noticias digitales afiliado a Chengdu Economic Daily.

Los datos robados son particularmente atractivos para los fanáticos obsesionados con las celebridades, ya que incluían fotografías de los rostros que usaban al registrarse para el reconocimiento facial. Sin embargo, cuando alguien intentó iniciar la sesión en las cuentas de otros usuarios, la aplicación no utilizó ningún método para verificar la identidad del solicitante.

No está claro cuándo fue descubierto el error, pero las consecuencias de la campaña de piratería comenzaron a quedar en evidencia la penúltima semana de diciembre, cuando miles de fotos de figuras conocidas, la mayoría selfis de baja calidad, aparecieron a la venta en foros en línea de fanáticos de artistas. En un caso, los piratas informáticos comercializaron ilegalmente las “fotos del código de salud” de los siete miembros de la banda musical china Teens in Times, quienes vendieron el producto entre sus seguidores por tan solo 3 yuanes (US$ 0,46) por descarga.

El robo de información se produjo en el contexto de un mercado ilegal ya existente en China, donde los números de identificación de las personas se venden a un precio extremadamente bajo -incluyendo los de celebridades- los cuales son fácilmente accesibles. Como se anunciaba en una publicación online, un paquete con 1.000 números estatales de identificación personal de celebridades, podrían hacerle ganar en total a un hacker a penas 1 yuan (US$ 0.15).

Si bien los responsables de la aplicación nunca respondieron al escándalo, el error ya habría sido corregido el pasado 30 de diciembre. Al intentar iniciar la sesión en cuentas de ciertas celebridades con la información comprada a piratas informáticos, los periodistas de Beijing News descubrieron que ya se requiere el reconocimiento facial.

Artículo original escrito por Jiayun Feng / 30 de diciembre, 2020.