Nuevos problemas para Glovo. La compañía barcelonesa lleva años envuelta en polémicas por los problemas con sus repartidores y su relación laboral, pero ahora el foco se ciñe sobre ella por un asunto bastante diferente: la denuncia por parte de decenas de clientes del robo de sus cuentas y el cobro de pedidos no realizados por ellos.

El último en levantar la voz ha sido Luis Herreras, un joven madrileño que después de pedir unas hamburguesas para cenar este domingo y salir de la aplicación con total normalidad, se encontró con la sorpresa de que alguien desde Egipto se había hecho con su perfil y había cargado a su tarjeta bancaria 11 pedidos por un valor de 166 euros. Él se dio cuenta gracias a las facturas que el sistema le mandaba a su email personal, con lo que consiguió entrar de nuevo en la cuenta y borrar su tarjeta como medio de pago. En ese momento los ladrones pararon, pero ante la ausencia de respuesta por parte de Glovo decidió publicar la historia en su cuenta de Twitter.

Lo primero que se suele pensar en estos casos es que se trata de un caso puntual marcado por alguna negligencia del usuario, pero lo cierto es que si buscas en la red es fácil encontrar decenas de casos casi calcados que se han dado, sobre todo, en España y Latinoamérica desde hace al menos un mes. Todos comparten el mismo 'modus operandi' (el ladrón se hace con la cuenta, cambian los datos personales y empiezan a pedir glovos indiscriminadamente) y el lugar desde el que viene el ataque: Egipto (país en el que Glovo desembarcó a mediados de 2018).

Desde Glovo aseguran de forma oficial que ya están en contacto con Herreras y que están investigando lo sucedido, pero dejan claro que "de ninguna forma se pueden poner en peligro los datos bancarios de los usuarios, pues nuestra plataforma no guarda esta información en sus servidores". Fuentes cercanas a la empresa y conocedoras del problema, explican a este periódico que es muy posible que el error venga de fuera y que se deba a que las víctimas usen para entrar en Glovo un correo y un 'password' filtrado en la red a raíz de algún gran ciberataque a sitios como LinkedIn, Adobe o Yahoo. Incluso indican que el email que utilizaba Herreras para entrar en la 'app' aparece como filtrado en la web 'Have I Been Pwned' utilizada tradicionalmente para saber si una cuenta es segura o no.

Esto choca de lleno con lo que cuenta el propio Luis Herreras según el joven madrileño, él entraba a esta 'app' a través del servicio de Facebook, utilizaba el correo que aparece filtrado, pero usaba una contraseña diferente a la que utiliza en otras plataformas y que debía ser segura. Además, lo que desde la compañía no explican es la cantidad de casos casi calcados que han aparecido, ni la razón por la que una vez robada la cuenta los mismos 'hackers' no intentaron cambiar el email y la contraseña para evitar que el usuario se diese cuenta de lo que estaban haciendo y pudises cortar el ataque facilmente.

Lorenzo Martínez, CTO de Securizame y experto en ciberseguridad, también duda de que sean casos puntuales. "Es raro que todo ocurra dentro de la 'app' y que los ladrones no hayan cogido la información del usuario para usarla para comprar en otras webs o forzar sus cuentas en otras aplicaciones o servicios", apunta en conversación con Teknautas. "Pinta que puede ser un fallo en algún punto de la plataforma de Glovo, creo que deberían dar la cara".

Además, otro asunto importante que menciona Martínez, es que aunque se demuestre finalmente que el error es del propio usuario, queda claro que la 'app' puede mejorar mucho en el entorno de la seguridad. El sistema no avisó a ninguno de los afectados de que había una actividad inusual en su cuenta, algo que sí hacen otros servicios como Google, y permitió cambiar todos los datos personales sin buscar una doble autorización por parte del dueño del perfil. "Podrían haber enviado un SMS antes de actualizar su número de teléfono o mandar un email cuando se cambió de país", reflexiona el experto.

¿Qué hacer si tengo cuenta en Glovo?

Si eres usuario de esta aplicación española, lo que recomiendan los expertos es que actualices tu contraseña y pongas una única para este servicio con un código alfanumérico seguro. Así evitarás que, aunque tus datos se hayan filtrado en la red, puedan ser utilizados para entrar en este servicio. Para hacer esto solo debes entrar en la 'app', clicar en la imagen que aparece en la parte superior izquierda, ir a 'Detalles personales' > 'Contraseña' y ahí podrás actualizar tus datos.

Fuente: Elconfidencial