30 millones de links protegidos expuestos por un proveedor

AXCESS · Diciembre 05, 2024, 08:59:56 PM

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

A la hora de compartir enlaces, es fundamental controlar quién puede acceder a los datos. Para ello se han creado servicios de enlaces seguros.

Estos servicios permiten crear enlaces protegidos con diversos controles de seguridad, como contraseñas, PIN, limitaciones de direcciones IP o escaneo de URL en tiempo real, para asegurar el acceso y proteger a los usuarios de enlaces maliciosos.

Microsoft y Google integraron hace tiempo enlaces seguros en sus productos. Para quienes no estén suscritos a las soluciones de los gigantes tecnológicos, existen plataformas en Internet que ofrecen servicios similares. Sin embargo, el uso de servicios de terceros puede suponer riesgos, sobre todo cuando se produce un error humano.

Esto es lo que le ocurrió a No tienes permitido ver enlaces. Registrate o Entra a tu cuenta, una plataforma diseñada para proteger y gestionar enlaces. El 5 de agosto, el equipo de investigación de Cybernews descubrió que había filtrado públicamente una enorme cantidad de datos de usuarios que se suponía que estaban protegidos.

Además de hacer públicos 30 millones de enlaces privados, la plataforma también expuso los datos de las cuentas de más de 156.000 usuarios.

¿Qué datos se filtraron?

Nombres de usuario

Correos electrónicos

Contraseñas cifradas con sal y hashes de API

Configuración de notificaciones

Configuración de seguridad asociada a los enlaces

ID de cuentas de redes sociales

Enlaces protegidos

Bots maliciosos encuentran los datos

La fuga fue causada por una base de datos MongoDB mal configurada y sin contraseña. Después de investigar la fuga, el equipo de investigación descubrió rastros de bots maliciosos que ya habían atacado la base de datos desprotegida.

Las bases de datos MongoDB mal configuradas suelen ser el objetivo de bots automatizados, que insertan notas README con una demanda de rescate. Si el propietario de la base de datos no paga el rescate, los bots destruyen el contenido de la base de datos enviando un comando de "eliminación".

Se descubrió una nota de este tipo en la base de datos filtrada perteneciente a Safelinking. La nota exigía el pago de 0,0057 BTC, que en el momento de la publicación, eran casi 660 dólares. "En 48 horas, sus datos se divulgarán públicamente y se eliminarán", se lee en la nota de rescate.

Tras la demanda de rescate, un bot malicioso destruyó la base de datos abierta, que ahora no está disponible públicamente. Nos hemos puesto en contacto con la empresa para obtener un comentario, pero aún no hemos recibido una respuesta.

Acceso libre a datos sensibles

Las configuraciones de notificaciones, los identificadores de cuentas de redes sociales y los hashes de API se consideran datos sensibles, al igual que la recopilación de millones de enlaces que se suponía que eran seguros.

"Es un buen recordatorio de por qué es tan importante tener medidas de seguridad sólidas en funcionamiento para las plataformas que manejan este tipo de datos", dijo el equipo de investigación de Cybernews.

"Incluso si las plataformas a veces no logran proteger la privacidad de los usuarios, es bueno conocer las normas básicas de seguridad, como el uso de la autenticación multifactor".

Si bien el equipo no inspeccionó la información detrás de los enlaces, es muy probable que al menos algunos de ellos contuvieran información privada y sensible. Es una práctica común compartir dichos datos mediante enlaces seguros con control de acceso.

Los enlaces seguros suelen utilizarse para acceder a información sanitaria, material de aprendizaje electrónico de pago, fotos privadas y sitios web en desarrollo. También son prácticos para enviar facturas, solicitar pagos o transferir documentos internos relacionados con el trabajo.

En este caso, los actores de amenazas pueden haber utilizado los enlaces filtrados para acceder a contenido privado o confidencial y explotarlo para el robo de identidad.

Los detalles de cuentas expuestas, como nombres de usuario, correos electrónicos e ID de cuentas de redes sociales, pueden utilizarse para ataques de phishing, lo que puede provocar más daños a la reputación y a las finanzas.

Fuente:
CyberNews
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

30 millones de links protegidos expuestos por un proveedor

AXCESS

Diciembre 05, 2024, 08:59:56 PM