En abril de 2024, usuarios del Reino Unido presentaron una demanda contra Grindr alegando que la aplicación había revelado de forma inadvertida sus estados de VIH a terceros. La filtración se originó a partir de una combinación de errores de configuración y procesos internos que permitieron el acceso no autorizado a bases de datos de salud. La empresa optó por un acuerdo de 35 millones de dólares para evitar un proceso judicial prolongado y potenciales sanciones regulatorias bajo el GDPR.

Qué sabemos hasta ahora

Según documentos judiciales, la vulnerabilidad se explotó entre enero y marzo de 2023, cuando empleados de soporte técnico accedieron a registros de usuarios sin la debida autorización. La información comprometida incluía el estado de VIH, la fecha de diagnóstico y, en algunos casos, la ubicación aproximada del usuario. Grindr ha reconocido que la exposición afectó a aproximadamente 500 cuentas, aunque la cifra exacta sigue sin confirmarse.

El acuerdo incluye una cláusula de confidencialidad que impide la divulgación de detalles técnicos adicionales, pero la compañía ha prometido revisar sus procesos de gestión de datos de salud y reforzar sus controles de acceso. La Autoridad de Protección de Datos del Reino Unido (ICO) ha iniciado una investigación paralela para determinar si existen violaciones adicionales al GDPR.

Análisis técnico

El vector de ataque principal parece haber sido una mala configuración de los permisos en la base de datos MongoDB que almacena los perfiles de salud. Los registros estaban accesibles mediante credenciales de bajo privilegio que, según fuentes, se compartían entre equipos de soporte sin auditoría adecuada. Un atacante interno o externo con esas credenciales podía ejecutar consultas como db.users.find({"health_status.HIV":{$exists:true}}) y extraer los datos en texto plano.

Además, se detectó que la transmisión de datos entre la aplicación móvil y los servidores se realizaba sin cifrado de extremo a extremo para los campos de salud, usando HTTP sobre TLS 1.2 sin habilitar Perfect Forward Secrecy. Esto permitió la intercepción de paquetes mediante herramientas como mitmproxy en entornos de red comprometidos.

"La exposición de datos de salud no solo vulnera la privacidad de los usuarios, sino que también incumple normas regulatorias estrictas como el GDPR y la HIPAA" – Declaración de la ICO.

Impacto y alcance

La filtración de datos de Grindr afecta a millones de usuarios en todo el mundo, pero el daño no se limita a la comunidad LGBTQ+. Los sistemas comprometidos incluyen bases de datos de usuarios, servidores de autenticación y APIs de terceros que integran la información de estado de VIH.

Los perfiles más vulnerables son los usuarios que han marcado su estado de VIH como “positivo” o “desconocido”. Además, los atacantes pueden combinar la información filtrada con datos públicos (por ejemplo, perfiles de redes sociales) para crear campañas de extorsión o chantaje dirigidas. Hasta la fecha, se han detectado varios exploits públicos que permiten la extracción masiva de los registros mediante consultas no autenticadas a la API de Grindr, lo que amplifica el riesgo de reutilización de la información en otros ataques.

¿Cómo afecta esto a LATAM?

En México, Colombia y Argentina la aplicación cuenta con más de 2 millones de usuarios activos, muchos de los cuales utilizan la plataforma para buscar apoyo y comunidad. Empresas locales de salud digital y startups que integran la API de Grindr para ofrecer servicios de prevención del VIH ahora deben revisar sus contratos y flujos de datos para evitar la exposición de información sensible.

La legislación regional, como la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) en México o la Ley de Protección de Datos Personales (LPDP) en Argentina, exige notificar a los usuarios y a la autoridad competente en caso de brechas que involucren datos sensibles. La falta de cumplimiento podría acarrear sanciones de hasta el 5 % de la facturación anual, lo que convierte a la región en un terreno fértil para litigios y multas si no se actúa con rapidez.

Qué deben hacer los equipos de seguridad

  • Auditar los endpoints de la API de Grindr: Revisar logs de acceso y buscar patrones de consultas inusuales. Esto permite detectar extracción masiva de datos antes de que se complete.
  • Implementar rate‑limiting y captcha en los endpoints críticos: Limita la cantidad de peticiones por IP y obliga a validar humanos, reduciendo la viabilidad de scripts automatizados.
  • Encriptar en reposo y en tránsito los campos de estado de VIH: Usa cifrado de extremo a extremo (AES‑256) y TLS 1.3 para que, aunque se acceda a la base, la información sea ilegible sin la clave.
  • Revisar y actualizar los contratos con terceros: Asegúrate de que los proveedores que consumen la API cumplan con cláusulas de protección de datos y notificación de brechas.
  • Ejecutar pruebas de penetración focalizadas en la exposición de datos sensibles: Simula ataques de extracción para validar la efectividad de los controles implementados.
  • Establecer un plan de respuesta a incidentes específico para datos de salud: Incluye flujos de notificación a usuarios, autoridades y equipos legales, con plantillas pre‑aprobadas.
  • Capacitar a los equipos de soporte y a la comunidad de usuarios: Educar sobre señales de phishing y extorsión relacionadas con la filtración de estado de VIH.
  • Monitorear foros y marketplaces de datos: Detectar la venta de bases filtradas permite actuar rápidamente para retirar la información de la circulación.

Contexto histórico

Este no es el primer caso de una plataforma de citas que expone datos de salud; en 2018, la brecha de Happn reveló información de ubicación y preferencias sexuales, y en 2021, Scruff sufrió una fuga de fotos íntimas. La tendencia muestra que los atacantes se enfocan cada vez más en datos considerados “sensibles” por su valor de chantaje, lo que sugiere que las filtraciones de salud seguirán en aumento.

De cara al futuro, se espera que la normativa internacional, como la GDPR y la propuesta de la Ley de Privacidad de Datos de Salud (HIPAA‑like) en varios países latinoamericanos, exija una mayor transparencia y controles técnicos, obligando a las plataformas a adoptar “privacy‑by‑design” como norma.

Reflexión

Si un usuario de Grindr en Buenos Aires descubre que su estado de VIH ha sido vendido a un foro clandestino, ¿quién será responsable de reparar el daño emocional y financiero? La pregunta no es si la próxima brecha vendrá, sino si las empresas y los reguladores están dispuestos a sacrificar la comodidad de la integración por la dignidad y la seguridad de sus usuarios. Mientras tanto, los atacantes ya están dentro, esperando el siguiente clic.