Aplicación de rastreo de teléfono LetMeSpy pirateada y revela detalles del usuario

LetMeSpy, una empresa de rastreo de teléfonos Android que se ha utilizado para rastrear más de 236 000 teléfonos, fue pirateada el 21 de junio, lo que permitió a los actores de amenazas obtener acceso no autorizado a los datos de sus usuarios desde 2013.

El ataque fue descubierto por un equipo de investigación de seguridad polaco en Niebezpiecznik que se puso en contacto con el fabricante de la aplicación de spyware; sin embargo, los investigadores recibieron una respuesta del actor de amenazas que indicaba que la persona se había apoderado del dominio LetMeSpy. No se sabe quién es el actor de la amenaza y cuáles son sus motivos.

Diseñada para ocultarse en la pantalla de inicio de un teléfono para no ser detectada, la aplicación de seguimiento de teléfonos está diseñada y comercializada para padres para controlar el uso de teléfonos por parte de menores y empleadores para rastrear a sus empleados. Sin embargo, la aplicación también se puede usar para métodos de «stalkerware» más maliciosos y amenazantes, como permitir que un cónyuge abusivo plante la aplicación en el teléfono de su pareja, dándole acceso a cualquier información que el acosador considere necesaria. Una vez descargada, la aplicación carga información, incluidos mensajes de texto, registros de llamadas y datos de ubicación, para que se pueda rastrear a una persona hasta una ubicación exacta.

Objetivo de filtraciones y hacks

Dado que tienen un amplio acceso al teléfono, este tipo de aplicaciones son objeto de filtraciones y piratería.

«La base de datos que revisamos contenía registros actuales de al menos 13,000 dispositivos comprometidosincluidos registros telefónicos detallados, aunque algunos de los dispositivos compartieron poca o ninguna información con LetMeSpy (LetMeSpy afirma eliminar datos después de dos meses de inactividad de la cuenta),» explicó TechCrunchquien recibió una copia de los datos filtrados.

LetMeSpy ha declarado que notificó a las fuerzas del orden y a la autoridad local de protección de datos UODO, pero se desconoce si notificará o no a las víctimas que tienen teléfonos comprometidos.