viernes, agosto 01, 2014

Badoo publica sus adictos al Sexo: En Badoo, todas tus fotos, tu información personal y tus aficiones son públicas

Podría pensarse, después de leer y probar lo que se publicó en el artículo Badoo, un aspirante a bombero y algo de Ingeniería Social: No te fíes nada de esa chica que te entra por WhatsApp, que únicamente se puede acceder “a tamaño completo” a la primera imagen del perfil indexado en los buscadores o que hiciera falta un poco de conocimiento sobre técnicas de dorking para tener éxito en la búsqueda de fotografías de usuarios y conversaciones íntimas de estos. E incluso que no fuera posible obtener la información de los perfiles de usuario de los miembros de Badoo.

El presente artículo quiere poner de manifiesto que no hace falta un conocimiento avanzado sobre el uso de los principales buscadores de Internet para obtener perfiles de usuarios de la red social Badoo, y que se puede tener acceso a todas las imágenes que éstos hayan dejado en la red social, así como a la información de sus perfiles privados.

Cómo buscar a un usuario de la red social Badoo sin tener conocimientos acerca de Hacking con Buscadores. Como se muestra en la siguiente imagen, sólo con poner el nombre de la red social y un nombre de una persona, los buscadores nos devolverán resultados sobre todas las coincidencias que tengan indexadas:

Figura 1: Perfiles de "Trini" de España en Badoo indexados en Google

Figura 2: Perfiles de Trini de España en Badoo indexados por Bing

Si por ejemplo consultados cualquiera de los resultados devuelto por Google, el resultado del perfil que se obtiene, que se recuerda que es totalmente público y está abierto a todos en Internet, es el que se ve en la siguiente imagen:

Figura 3: Un perfil de la red social Badoo publicado en Internet

Hemos tapado las caras, pero tanto la foto de la menor como las del perfil han sido subidas voluntariamente y publicadas en Internet para todo el mundo. Si ahora quisiéramos obtener todas las imágenes a tamaño real - observamos que este usuario tiene 4 -, el resultado de Badoo es el mostrado en la siguiente imagen:

Figura 4: Si quieres ver las fotos Badoo te pide registrarte

La propia red social Badoo nos envía a la primera página para que, en caso de tener interés por ver más imágenes de esa persona, nos demos de alta en la red social. Sin embargo, veremos en el siguiente apartado cómo NO es necesario estar dado de alta para poder obtener todas sus imágenes de Badoo.

Para obtener todas las imágenes personales de un usuario de esta red social solo hay que pedir la URL /photos/ del perfil, para que nos lleve sin redirección alguna a la ficha de las fotografías del perfil. Una vez allí, en cada foto usar la opción de abrir en una nueva pestaña y listo. La foto aparece completa, además de todos los comentarios públicos.

Figura 5: Con pedir la URL /photos/ te da acceso a todas las fotos a tamaño real

Si ahora pulsamos sobre el botón Perfil y consultamos el perfil de este usuario, Badoo volverá a redirigirnos a la pantalla de login. Veremos cómo obtener la información de los perfiles del usuario.

Pero... todo está indexado y cacheado en Google, así que es suficiente con hacer una búsqueda como la primera para localizar los perfiles, pero añadir algún termino que esté en el perfil, como por ejemplo, "Relación de Pareja". Como se puede ver hay una barbaridad de ellos indexados en caché, y se podrán ver todos ellos.

Figura 6: Lista de perfiles indexados y cacheados en Google

Incluso, se puede buscar información de perfiles, de forma pública, sin registrarse, de manera anónima y desde Internet, con términos como "Adicta al Sexo".

Figura 7: Perfiles con el comentario de "Adicta al sexo" en su perfil cacheado en Google

Este artículo no es más que otro grito a Internet para ver si conseguimos concienciarnos todos de que debemos tener cuidado con a quién le damos nuestros datos, y lo que es peor, que dejemos de ser utilizados como mercancía por sitios como estos. No hay que olvidar que Badoo se lava las manos y responsabiliza a los usuarios de todo lo que publican.

Autores: Amador Aparicio y Chema Alonso
Twitter: @amadapa y @chemaalonso

10 comentarios:

Carlos dijo...

Emmm, ¿qué andabas buscando para encontrar esto? :D
Buen post, como todos ;)

Anónimo dijo...

Andaba buscando bitches

Rubén dijo...

Buen Post!! No soy un usuario de Badoo por suerte, pero si Badoo deja que controles la privacidad de tu cuenta y no ser indexado por Google, ¿qué denunciáis que de ninguna manera se pueda indexar tu cuenta o la poca accesibilidad que hay para acceder a la privacidad de tu cuenta y así bloquear esa indexación?
Gracias,
Sois grandes :)

Anónimo dijo...

Simplemente habéis descubierto cómo ver las fotos que, de por sí. Sin embargo, las fotos marcadas como privadas no son accesibles en la medida que no son indexadas. ¿Es eso un fallo de seguridad? Sinceramente, es mucho más sencillo hacerse un perfil de mentira en Badoo para ver esas fotos públicas que usar el método descrito.

Anónimo dijo...

Simplemente habéis descubierto cómo ver las fotos que, de por sí, son públicas. Sin embargo, las fotos marcadas como privadas no son accesibles en la medida que no son indexadas. ¿Es eso un fallo de seguridad? Sinceramente, es mucho más sencillo hacerse un perfil de mentira en Badoo para ver esas fotos públicas que usar el método descrito.

Anónimo dijo...

De hecho es mucho más sencillo: una vez dentro del perfil, si haces clic en cualquier foto, te lleva a la página de registro. Pero si le das a "abrir enlace en una nueva ventana/pestaña", eso no ocurre, sino que carga la foto. Así con todos los enlaces.

Curioso cuanto menos.

Anónimo dijo...

Rubén,
Hay una opción en Badoo para que tu perfil no sea indexado. Y no está escondida...

Anónimo dijo...

Bueno, si es como dice el anónimos de las 10:28 no me parece grave ni fallo de seguridad. Lo que pienso es que se puede hacer una aplicación que saque la información pública automáticamente con "otros fines" porque en principio deberían bloquearte tipo google, cuando haces muchas peiticiones automática estando en badoo... o no, yo no lo sé, pero viendo lo badanas que son, siquiera controlarán esos detalles para impedir a robots que les extraigan los datos de los usuarios.

Me pareció peor lo de las conversaciones, pero si no están marcadas como privadas pues...

Así que... éste como curiosidad vale, pero de ahí a fallo de seguridad...

Jonathan Novel dijo...

Yeah y dale!

Nuevas fuentes de información sin necesidad de registrarte en Badoo para los malosos con el error mas común cometido por parte de los usuarios de seguir reutilizando, bueno, en este caso las contraseñas no se pero los NiksNames y fotos de perfil seguro que en mas de un sitio y red social si, bastante perjudicial para el futuro de alguna que otra pareja el haber estado por hay buscando tema como un descosio en plan gigolo o sexsimbol jejeje, si eres chico no esta tan mal visto siempre y cuando no descubran tu pasado gay (mis respetos hacia la comunidad de gays y lesvianas, solo es un ejemplo) que conste, pero si eres chica...a mi me daría vergüenza la verdad, aunque soy de los que piensan que la vergüenza era verde y se la comió una cabra pero oye, no todo el mundo piensa igual, espero...XD


Me parece un buen tema y a su vez muy divertido, solo hay que dejarse llevar por esos impulsos malignos que todos llevamos dentro en algún rincón de nuestro ADN y ver con claridad los problemas que puede generar este tipo de información expuesto o no tan expuesto en la red, primero pensar en que haría una persona con malas intenciones y luego que pasaría si te lo hiciesen a ti, a que mola? XD

Warning! Ojo con el celoso de tu vecino "Hacker"que por 30 euros te la juega >,<

Buen trabajo a los dos, salu2!

casascontenedor dijo...

Hay una pagina en la que pones el nombre de usuario de Badoo y te salen los links para descargarte las fotos y ni hace falta ni siquiera estar logeado. En ocasiones las fotos son incluso de mayor tamano que las que muestra badoo en su ventana.:

http://www.savebphotos.com/

Entrada destacada

Infraestructuras Críticas y Sistemas Industriales: Auditorías de Seguridad y Fortificación de @0xWord

Desde hoy está disponible a la venta un nuevo libro de 0xWord centrado en la seguridad de los Sistemas Industriales y las Infraestructuras...

Entradas populares