**Graves vulnerabilidades en apps de salud mental: filtración masiva de datos sensibles expone a millones de usuarios**

—

### 1. Introducción

Una reciente investigación ha revelado la existencia de cientos de vulnerabilidades en aplicaciones de salud mental ampliamente utilizadas, poniendo en serio riesgo la privacidad y seguridad de millones de usuarios a nivel global. El estudio, realizado por un equipo multidisciplinar de analistas de seguridad, pone de manifiesto cómo datos extremadamente sensibles, como diagnósticos clínicos, notas de terapia y registros de estados de ánimo, pueden ser expuestos o interceptados por actores maliciosos debido a fallos graves en la implementación de medidas de protección en estas plataformas digitales.

—

### 2. Contexto del Incidente o Vulnerabilidad

El auge de las aplicaciones de salud mental, impulsado por la pandemia y el incremento de la demanda de soporte psicológico remoto, ha propiciado la proliferación de plataformas que prometen anonimato y confidencialidad. Sin embargo, la investigación analizó 100 aplicaciones líderes del mercado, presentes tanto en Google Play como en App Store, encontrando más de 400 vulnerabilidades únicas, en su mayoría relacionadas con la gestión insegura de datos personales, deficiencias en el cifrado, y prácticas inadecuadas de almacenamiento y transmisión de información.

Entre las apps afectadas figuran desde servicios de terapia online hasta plataformas de seguimiento del estado de ánimo y diarios emocionales, muchas de ellas con millones de descargas y usuarios activos. En el 75% de los casos, las aplicaciones carecían de mecanismos sólidos de protección de datos en tránsito y en reposo, incumpliendo requisitos básicos del GDPR y la Directiva NIS2.

—

### 3. Detalles Técnicos

Según el informe, se han identificado vulnerabilidades catalogadas bajo varios CVE (Common Vulnerabilities and Exposures), destacando:

– **CVE-2024-13789**: Insuficiente validación de certificados SSL/TLS, permitiendo ataques MITM (Man-in-the-Middle) que posibilitan la intercepción de sesiones y el robo de credenciales.
– **CVE-2024-13801**: Almacenamiento de datos sensibles en texto plano en el dispositivo, facilitando el acceso mediante malware o acceso físico.
– **CVE-2024-13822**: Uso de tokens de autenticación predecibles o reutilizables, vulnerables a ataques de suplantación de identidad.
– **CVE-2024-13835**: APIs expuestas que permiten la enumeración de usuarios y extracción masiva de registros históricos.

Los vectores de ataque más comunes incluyen la explotación de endpoints REST inseguros, replay attacks y el aprovechamiento de permisos excesivos concedidos a las aplicaciones. Herramientas como Burp Suite, Metasploit y MobSF (Mobile Security Framework) han sido empleadas tanto por los investigadores como por actores maliciosos para identificar y explotar estas debilidades. En términos de TTPs (Tactics, Techniques, and Procedures), varias de las técnicas están alineadas con el framework MITRE ATT&CK, específicamente T1040 (Network Sniffing), T1552 (Unsecured Credentials) y T1071 (Application Layer Protocol).

Entre los Indicadores de Compromiso (IoC) detectados se encuentran patrones de tráfico no cifrado, fuga de tokens JWT en logs, y endpoints accesibles sin autenticación.

—

### 4. Impacto y Riesgos

El impacto potencial es severo. La exposición de notas terapéuticas, diagnósticos psicológicos y datos de seguimiento emocional no solo compromete la privacidad, sino que puede dar lugar a chantajes, suplantación de identidad, discriminación laboral y daños reputacionales. Se estima que, sólo en Europa, más de 20 millones de usuarios podrían estar afectados, con pérdidas económicas potenciales superiores a los 100 millones de euros por demandas, sanciones regulatorias y pérdida de confianza.

Además, la filtración de estos datos viola directamente la GDPR, exponiendo a las empresas desarrolladoras a multas de hasta el 4% de su facturación anual global. En el marco de la NIS2, la falta de protección de infraestructuras digitales críticas puede derivar en sanciones adicionales y obligaciones de notificación inmediata a las autoridades competentes.

—

### 5. Medidas de Mitigación y Recomendaciones

Ante este contexto, se recomienda:

– Implementar cifrado de extremo a extremo (E2EE) tanto en tránsito como en reposo.
– Adoptar la autenticación multifactor (MFA) y mecanismos de gestión segura de sesiones.
– Limitar los permisos de las aplicaciones al mínimo necesario.
– Realizar auditorías periódicas de seguridad, incluyendo pentesting y análisis de código fuente.
– Actualizar y parchear componentes de terceros y librerías utilizadas.
– Cumplir de forma estricta con las normativas GDPR y NIS2, documentando medidas y evaluaciones de impacto de privacidad.

Para los usuarios, se aconseja revisar la política de privacidad de cada app, optar por servicios con historial comprobado de seguridad y preferir aplicaciones que hayan sido auditadas externamente.

—

### 6. Opinión de Expertos

Expertos del sector, como Javier Candau, jefe del Departamento de Ciberseguridad del CCN-CERT, alertan: “La sensibilidad de los datos manejados por estas apps exige un nivel de protección superior al de otros servicios digitales. No puede tolerarse que diagnósticos o notas terapéuticas estén expuestos por malas prácticas de desarrollo”. Por su parte, la European Union Agency for Cybersecurity (ENISA) recomienda a los desarrolladores adoptar frameworks de Secure SDLC y realizar divulgación responsable de vulnerabilidades.

—

### 7. Implicaciones para Empresas y Usuarios

Para las empresas desarrolladoras, este incidente representa un desafío crítico: deberán invertir en procesos DevSecOps, formación de equipos y herramientas de seguridad móvil. No hacerlo puede acarrear sanciones regulatorias y pérdida de competitividad en un mercado cada vez más vigilado.

Los usuarios, por su parte, deben ser conscientes del valor de sus datos y ejercer su derecho a la portabilidad y eliminación de información personal, exigiendo mayor transparencia a los proveedores de servicios digitales.

—

### 8. Conclusiones

La investigación subraya la urgente necesidad de elevar los estándares de seguridad en el sector de las aplicaciones de salud mental. La protección de datos personales no solo es una obligación legal, sino también un imperativo ético y reputacional. Adoptar buenas prácticas de ciberseguridad y auditar de forma recurrente son pasos ineludibles para evitar la próxima gran filtración de datos sensibles en el ámbito de la salud digital.

(Fuente: www.kaspersky.com)