Etiquetadata leak

Atacando sistemas legacy: FONASA y SAG

gobcl-data-leak

Los sistemas legado o legacy siempre son un dolor de cabeza, más aún cuando se trata de seguridad. Por lo general, este tipo de sistemas fueron desarrollados hace más de 5 años y no Sitienen ningún tipo de soporte. El problema es que los siguen utilizando, incluso para el manejo de información sensible y confidencial. Cuando estos sistemas estan publicados en internet, sin ningun tipo de protección ni filtro, el riesgo de sufrir un ataque es aún mayor.
Utilizando simplemente los motores de búsqueda, en chile se pueden enumerar cientos de sistemas legacy a nivel de gobierno, incluso algunos que ya han sido intervenidos y los encargados no se han dado cuenta. Una mala práctica muy común es restaurar los sistemas y bases de datos una vez que fueron intervenidos y “hackeados“, pero no se realiza ningún tipo de análisis de intrusión para determinar el impacto del ataque; simplemente los restauran. ¿Cual es el problema? Que los restauran con los mismos bugs incluso con el mismo backdoor que se utilizo para el ataque.

Seguir leyendo

Datos de clientes de Aguas Andinas expuestos por un tercero

Hace unos minutos me llegó un correo promocional de Aguas Andinas, invitandome a cambiarme a Boleta Electrónica.

 

unnamed

El correo fue enviado desde la cuenta “Aguas Andinas” <ventasti@mailpromo.cl>. Todo indica que Aguas Andinas le entregó la base de datos a esta empresa de spam mailing. El problema es que una vez mas los proveedores de este tipo de servicios no cumplen con las normas minimas de seguridad y violan la privacidad de los usuarios. En este caso, todo indica que Aguas Andinas no exige seguridad a sus clientes y le entrega la información de nosotros a cualquiera.

Seguir leyendo

EFT, Operador de transacciones bancarias expone comprobante de pago

online-bank

Según aparece en su propia página web, EFT es un proveedor especialista en tecnología de servicios transaccionales. Sus productos ofrecen integración de sistemas de pagos, recaudación de fondos y optimización de canales; para aumentar los ingresos, reducir costos e impulsar la rentabilidad. La tecnología utilizada está probada en entornos de crecimiento de alto volumen y proporciona los estándares de seguridad y soporte que demandan las grandes empresas.

Varios bancos utilizan este intermediario para realizar transacciones, junto a una leyenda de que “las transacciones realizadas mediante este sistema son seguras“.

Seguir leyendo

Banco Estado expone cheques y comprobantes de depositos

banco-estado

No es primera vez que el Banco Estado cae en errores como estos, en el año 2012 publicó un log de transacciones que superaban los 5GB diarios. Durante la semana pasada detecté que muchos de los cheques depositados y los comprobantes de depositos podían ser vistos por cualquier persona, sin ningun mecanismo de autenticación ni control.
Los cheques correspondían a documentos escaneados, por ambos lados.

Seguir leyendo

Privacidad: Información privada expuesta por terceros sin responsabilidades

Muchas veces nos preguntamos por quien es el responsable al momento de encontrar una vulnerabilidad en un sitio web que expone información de las personas, si quien hace publico el hallazgo o bien quien comete el errror de dejar esa vulnerabilidad. La verdad es que obviamente es una responsabilidad compartida, pero cuando los encargados de resguardar dicha información no hacen bien su trabajo y no implementan ningún tipo de medidas de seguridad, la responsabilidad –creo yo– corresponde a quien comete el error de dejar la puerta abierta.
Tambien es cierto que existe una gran diferencia entre romper un sistema informático para acceder a información confidencial y encontrar todo abierto, donde es llegar y descargar información donde incluso los motores de busqueda son capaces de indexar dicha información. En este caso en particular, yo me referiré al segundo caso: Cuando dejan todo abierto.

La idea de este artículo no es exponer información confidencial ni mucho menos, simplemente hacer una comparativa de casos en la vida real e internet.

Seguir leyendo

Banco Estado expone informacion sobre las transferencias realizadas

Me llegó un correo informandome de una vulneraiblidad critica que afecta al Banco Estado, especificamente a la plataforma movil del banco estado. Se trata de la divulgación de un log de transacciones ubicado en los servidores del Banco, accesible libremente por cualquier usuarios. El log no se encontraba protegido bajo ningun mecanismo de seguridad y la información que exponía es increible.

La información expuesta en este archivo corresponde a nombre de la persona que está realizando la transferencia, nombre del destinatario, email del destinatario, cuenta de origen y destino, montos asociados a la cuenta, información de la tarjeta de coordenadas y además, la password que utiliza el usuario para ingresar al portal. Todo esto debería estar cifrado, ya que utilizan SSL para las peticiones, pero en este log aparecía todo en plano. No tiene sentido que cifren el trafico para prevenir sniffeos y robos de datos en las redes si exponen todo el trafico en tiempo real en texto plano. Es como no usar SSL.

Seguir leyendo