La mala gestión de contraseñas conduce a la fuga de 243 millones de registros médicos

Otro sorprendente incidente de seguridad ha expuesto la información personal y los registros médicos de casi 250 millones de brasileños. La filtración fue reportada por una publicación brasileña a principios de diciembre de 2020.

Los nombres completos, números de teléfono y direcciones de 243 millones de ciudadanos brasileños fueron expuestos después de que se olvidara la contraseña necesaria para acceder a la información y se dejara dentro del código fuente de acceso público de un sitio web. La discrepancia entre la población actual del país de alrededor de 210 millones y la gran cantidad de registros expuestos se debe al hecho de que los registros incluían muchas entradas de personas que han fallecido a lo largo de los años.

El asombroso error de seguridad dejó la contraseña completamente abierta al público. Según el informe publicado por ZDNet, las credenciales de inicio de sesión en la base de datos que contiene los registros de salud se almacenaron en formato base64 y las cadenas de base64 se expusieron a cualquiera que presione el botón "ver fuente" en su navegador.

El hecho de que las cadenas estén codificadas con base64 es un pequeño consuelo, ya que el formato es muy fácil de descifrar, incluso con herramientas en línea gratuitas.

El gobierno brasileño afirmó que, si bien hubo una exposición potencial significativa de información, no había pruebas contundentes de que los malos actores accedieran ilegalmente a la información.

Lo que empeora las cosas es que el error de contraseña ocurrió debido al mal manejo de la base de datos y el sitio web por parte de una empresa externa. Esto solo sirve para resaltar lo importante que es el proceso de selección de proveedores externos y lo fácil que es para una gran organización gubernamental sufrir un posible accidente de seguridad masivo simplemente porque no eligió un socio privado confiable.

Los datos que se expusieron podrían usarse fácilmente para una serie de propósitos maliciosos, desde el relleno de credenciales hasta la suplantación de identidad y el fraude. Lamentablemente, como ocurre con todas las filtraciones de datos, no hay nada que pueda hacer para protegerse de una empresa u organización que maneja mal la información que les envía.