Bank of America revela una violación de datos en el programa de protección de sueldo de la SBA
La pandemia de COVID-19 nos ha planteado una serie de desafíos, y aunque todos estamos bastante seguros de que los superaremos, algunos de ellos presentan bastantes dificultades inesperadas. La historia de hoy, por ejemplo, le mostrará cómo las soluciones que usamos para combatir la crisis a menudo se diseñan rápidamente y a veces son defectuosas. También debería mostrarte cuán graves podrían ser las consecuencias de todo esto.
Para ayudar a las pequeñas empresas a sobrevivir a la pandemia, la Administración de Pequeñas Empresas de EE. UU. Estableció el Programa de protección de cheques de pago. Las empresas que participan en él pueden obtener un préstamo que será completamente perdonado si se usa directamente para mantener a la fuerza laboral empleada durante el período del cierre.
Se supone que el dinero debe ser prestado por bancos que participan en el programa como Bank of America (BofA), y es su responsabilidad procesar la información de los solicitantes y entregarla a la agencia. La SBA construyó rápidamente una nueva plataforma en línea para facilitar esto, y el 22 de abril, BofA lo estaba probando al presentar algunas solicitudes. Por razones que aún no están claras, aunque se suponía que esto era una prueba, el banco estaba usando aplicaciones reales llenas de datos reales. Efectivamente, en un momento, su equipo de seguridad notó que la información presentada también era accesible para otras personas que iniciaron sesión en el sistema.
Un sistema de prueba SBA expuso la información de los solicitantes
La semana pasada, el Bank of America presentó una notificación de violación de datos ante el Fiscal General del Estado de California para revelar el incidente. Los detalles son pocos, pero según la carta, cuando enviaron las solicitudes del 22 de abril, los profesionales de TI de BofA notaron una falla en el sistema de la SBA, lo que dio a otros prestamistas acceso a los documentos.
Esto era preocupante porque las presentaciones contenían mucha información sobre las empresas que solicitaban el préstamo y sus propietarios. Los datos potencialmente expuestos incluyen:
- Nombres
- Correos electrónicos
- Direcciones de casa
- Direcciones comerciales
- Números de teléfono
- Números de identificación fiscal
- Números de seguridad social
Suena más aterrador de lo que es
Tan pronto como BofA notó la posible exposición, notificó a la SBA y los datos se eliminaron del sistema vulnerable. El aviso de incumplimiento señala que no hay evidencia de acceso no autorizado a los datos, y un portavoz le dijo a The Charlotte Business Journal que el número de clientes afectados es "pequeño". Sin embargo, debido a que la violación involucró información extremadamente delicada, el banco brinda a los clientes potencialmente involucrados dos años de protección contra el robo de identidad. El incidente no debería tener relación con las aplicaciones del Programa de protección de cheques de pago de los clientes, y en general, no parece la peor filtración del mundo. Sin embargo, una fuga es una fuga, y debemos aprender de ella.
BofA no fue el único banco que probó el sistema, pero es el único que revela una posible exposición de datos, lo que puede sugerir o no que otros prestamistas usen información ficticia o no válida. Cualquiera sea el caso, los expertos en seguridad de datos del banco probablemente deberían pensar en las políticas empleadas al procesar los datos personales y comerciales de los clientes. Sin embargo, no son los únicos que deberían sacar conclusiones de todo esto.
Es obvio que la SBA no tuvo el tiempo para probar adecuadamente el sistema del Programa de Protección de Cheques de Pago, pero aproximadamente un mes antes de que Bank of America descubriera esta falla, la agencia pasó por otro incidente no relacionado que sugiere que la seguridad de los datos probablemente debería aumentarse Lista de prioridades de la SBA. En ese caso, una vulnerabilidad amenazaba con exponer la información privada y comercial de 8,000 solicitantes al programa de préstamos por desastre por daños económicos.
La pandemia de coronavirus no puede ser una excusa para el mal manejo de los datos de las personas. Con suerte, todos los responsables entenderán esto antes de que sea demasiado tarde.
