Miles de llamadas expuestas obligan a cerrar app que pagaba por grabar para entrenar una IA
Una aplicación que prometía dinero fácil acaba de convertirse en una pesadilla de seguridad.
Neon, la app que te pagaba por grabar tus llamadas telefónicas y vender ese audio a empresas de inteligencia artificial, se volvió viral en cuestión de días, pero tuvo que ser retirada de circulación casi de inmediato por un fallo de seguridad que dejó expuestos números telefónicos, grabaciones completas y transcripciones de miles de usuarios.
El fallo que lo cambió todo
La propuesta sonaba tentadora. Instalas Neon en tu iPhone, permites que grabe tus conversaciones telefónicas y a cambio recibes hasta 30 centavos por minuto.
La empresa vendía esos audios (supuestamente anonimizados) a compañías tecnológicas que los usan para entrenar modelos de IA. En menos de una semana desde su lanzamiento, Neon ya estaba entre las cinco aplicaciones gratuitas más descargadas del App Store, con 75,000 descargas en un solo día.
Todo empezó desde el sitio TechCrunch decidieron probar la aplicación. Lo que encontraron fue alarmante: cualquier persona con conocimientos básicos de análisis de redes podía acceder a información privada de otros usuarios.
Usando una herramienta de análisis llamada Burp Suite, los periodistas se dieron cuenta de que los servidores de Neon no estaban protegiendo adecuadamente los datos. Aunque la aplicación mostraba solo las propias llamadas del usuario y cuánto dinero había ganado, por debajo del agua todo estaba completamente expuesto.
Los reporteros podían ver las transcripciones completas de sus llamadas de prueba y, lo peor, tenían acceso a enlaces web públicos donde cualquiera podía escuchar las grabaciones de audio. Solo hacía falta tener el enlace, pero esto no terminaba ahí.
Datos al descubierto: un banquete para curiosos
El problema real era que los servidores de Neon permitían acceder no solo a tus propios datos, sino a los de cualquier otro usuario. El medio encargado de la investigación logró obtener listas de las llamadas de otros usuarios, con enlaces directos a sus grabaciones de audio y transcripciones textuales completas.
Y hay más: también quedaban expuestos los metadatos de esas llamadas. Números de teléfono del usuario, números de los contactos llamados, duración de cada conversación, la hora exacta en que se realizó y hasta cuánto dinero generó esa llamada específica.
Básicamente, un mapa completo de la vida telefónica de miles de personas quedó al alcance de cualquiera con curiosidad y un par de herramientas técnicas básicas.
Lo más preocupante es que, al revisar algunas transcripciones, quedó claro que varios usuarios estaban usando Neon para hacer largas llamadas y grabar conversaciones reales con otras personas que no sabían que estaban siendo grabadas, todo con el objetivo de generar más dinero.
Una respuesta a medias
Después de que este medio alertó al fundador de Neon, Alex Kiam, sobre el fallo de seguridad, la empresa actuó rápido. Kiam bajó los servidores y envió un correo a los usuarios informando que la app estaría temporalmente fuera de servicio «para agregar capas extra de seguridad«.
Sin embargo, el mensaje no mencionaba nada sobre el fallo de seguridad ni sobre el hecho de que los datos de los usuarios habían estado completamente expuestos. Simplemente hablaba de crecimiento rápido y precauciones de privacidad, como si fuera una actualización rutinaria.
Kiam tampoco aclaró si la aplicación había pasado por alguna auditoría de seguridad antes de su lanzamiento, ni si la empresa tenía registros (logs) para verificar si alguien más había explotado el fallo antes de que este medio lo reportara.
A casi dos semanas del incidente, Neon ha prometido volver pronto, pero por ahora sigue fuera de línea.
