Redazione RHC : 26 Luglio 2025 22:22
Fitify, una delle app di fitness più popolari con oltre 10 milioni di installazioni su Google Play e quasi 25 milioni di download su tutte le piattaforme, si è ritrovata al centro di uno scandalo legato alla fuga di immagini private degli utenti. Il team di Cybernews ha scoperto un grave incidente: l’archivio cloud Google di Fitify, accessibile al pubblico, conteneva centinaia di migliaia di file, tra cui foto di utenti che mostravano i loro cambiamenti fisici durante gli allenamenti.
La vulnerabilità è stata scoperta all’inizio di maggio 2025. L’archiviazione non richiedeva password o chiave di accesso, consentendo a chiunque di accedere a dati riservati. Tra i 373.000 file c’erano circa 206.000 avatar di utenti, 138.000 “foto dei progressi” e 6.000 scansioni corporee 3D, inclusi metadati utilizzati per analizzare peso corporeo, grasso corporeo e postura. Altri 13.000 file erano allegati nella corrispondenza con l’allenatore AI.
La preoccupazione maggiore era che le foto scattate con i progressi e con il telescan venivano spesso scattate con pochi o nessun indumento indosso, una pratica standard tra gli utenti di body tracking. Queste immagini avrebbero dovuto essere estremamente riservate e, secondo la descrizione di Fitify su Google Play, avrebbero dovuto essere crittografate durante il trasferimento. Tuttavia, la mancanza di protezione a livello di archiviazione ha invalidato completamente tale promessa.
Sponsorizza la prossima Red Hot Cyber Conference!
Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.
Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un paccheto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.
Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Supporta RHC attraverso:
L'acquisto del fumetto sul Cybersecurity Awareness
Ascoltando i nostri Podcast
Seguendo RHC su WhatsApp
Seguendo RHC su Telegram
Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.
Dopo essere stata avvisata da Cybernews, Fitify Workouts ha bloccato l’accesso all’archivio e risolto il problema, rendendo i file inaccessibili a terzi. Nonostante la pronta risposta, l’incidente ha rivelato altri segnali allarmanti. Gli esperti hanno trovato chiavi e segreti hard-coded nel codice dell’applicazione che avrebbero potuto essere utilizzati dagli aggressori per ottenere ulteriore accesso ai sistemi interni e ai dati degli utenti.
I segreti sono stati scoperti sia nell’ambiente di sviluppo che in quello di produzione dell’app. Tra questi, ID client Android e Google, chiavi API, riferimenti Firebase, ID progetto, archiviazione dati e, in produzione, chiavi e token di Facebook, domini dinamici Firebase e persino una chiave Algolia. Quest’ultima, tra l’altro, non è menzionata nell’informativa sulla privacy dell’app, sebbene il servizio Algolia non consenta l’hosting locale e tutte le informazioni in esso contenute siano archiviate su server esterni.
La disponibilità di tali dati apre la strada a molteplici vettori di attacco, tra cui la possibilità di falsificare applicazioni, manomettere i contenuti degli utenti e persino far trapelare dati dei social media. Gli autori dell’indagine hanno sottolineato che Fitify, pur divulgando i servizi di terze parti che utilizza, non fornisce informazioni sufficienti sui rischi associati al loro utilizzo.
Per prevenire tali incidenti, gli esperti raccomandano di implementare meccanismi di autenticazione per l’archiviazione cloud, limitando l’accesso solo a persone e sistemi autorizzati. È inoltre fondamentale revocare le chiavi trapelate, crearne di nuove e aggiornare l’applicazione in base all’infrastruttura di sicurezza avanzata. È necessario condurre un audit per individuare possibili abusi di vulnerabilità.
RedazioneCome abbiamo riportato questa mattina, diversi cavi sottomarini nel Mar Rosso sono stati recisi, provocando ritardi nell’accesso a Internet e interruzioni dei servizi in Asia e Medio Oriente. Micros...
La Commissione Europea ha inflitto a Google una multa di 2,95 miliardi di euro, per abuso di posizione dominante nel mercato della pubblicità digitale. L’autorità di regolamentazione ha affermato ...
La cultura hacker è nata grazie all’informatico Richard Greenblatt e al matematico Bill Gosper del Massachusetts Institute of Technology (MIT). Tutto è iniziato nel famoso Tech Model Railroad Club...
Sette italiani su dieci hanno il proprio numero di telefono incluso in questa banca dati. Ma cosa significa attualmente disporre di un tale quantitativo di numeri telefonici concentrati all’interno ...
I criminali informatici hanno lanciato una nuova ondata di attacchi che utilizzano file SVG per distribuire pagine di phishing. Gli esperti di VirusTotal hanno segnalato che gli aggressori si spaccian...
