Los datos personales de toda la población ecuatoriana podrían haberse filtrado

Algunas filtraciones de datos son más grandes y más impactantes que otras. Pero, ¿cómo los clasificamos exactamente? ¿Cuándo puede un incidente de seguridad de datos considerarse un problema masivo y cuándo no es tan importante? El sentido de la escala ha sido algo borroso.

Si 50 mil personas pierden sus datos, por ejemplo, podría pensar que se trata de una violación importante. Sin embargo, cuando te das cuenta de que miles de millones de usuarios interactúan con cientos de miles de servicios en línea y fuera de línea todos los días, comienzas a ver que es solo una gota en el océano. Sin embargo, cuando la población de un país entero se ve afectada, la brecha nunca puede considerarse pequeña.

Un servidor Elasticsearch no seguro expone los datos personales de millones de ecuatorianos.

Una vez más, la información filtrada fue encontrada por el equipo de investigadores de vpnMentor dirigido por Noam Rotem y Ran Locar. En los últimos meses, se han involucrado en un proyecto de mapeo web que ha resultado en el descubrimiento de docenas de bases de datos mal protegidas que han estado filtrando información confidencial durante años. Hace un par de semanas, encontraron el siguiente en una línea muy larga de bases de datos Elasticsearch que se enfrentaba a Internet sin ninguna forma de protección, pero rápidamente se dieron cuenta de que esto no sería una fuga de datos ordinaria.

Un análisis rápido de los datos reveló que todas las personas afectaron a los ciudadanos de Ecuador. Sorprendentemente, sin embargo, el servidor Elasticsearch tenía 20.8 millones de registros, 4.2 millones más que la población actual del país sudamericano. Los investigadores se dieron cuenta de que todos los ecuatorianos, así como también algunos individuos fallecidos, podrían estar allí. Para obtener una mejor comprensión de la magnitud del incidente, Rotem y Locar se pusieron en contacto con Catalin Cimpanu de ZDNet, quien los ayudó a revisar la base de datos y averiguar qué está sucediendo.

Confirmar la legitimidad de los datos no fue tan difícil. El reportero de ZDNet no tuvo absolutamente ningún problema para encontrar registros de Lenín Moreno, el presidente de Ecuador, y también localizó los datos personales de Julian Assange, quien, como probablemente sepa, recibió asilo de la embajada del Reino Unido en el país sudamericano. La facilidad con la que se podía acceder a la información era bastante aterradora, pero cuando vieron la cantidad de datos que había en el servidor Elasticsearch, Rotem, Locar y Cimpanu estaban aterrorizados.

El servidor con fugas expuso toneladas de datos confidenciales

Cimpanu dividió los datos filtrados en dos grupos separados: información recopilada por el registro civil de Ecuador e información recopilada por empresas privadas. Probablemente no debería ser demasiado sorprendente que el registro civil tenga mucha información sobre los ciudadanos ecuatorianos. Esto incluye nombres completos , fechas de nacimiento , lugares de nacimiento , números de teléfono , direcciones e información sobre el estado civil , el lugar de trabajo y la educación de las personas . Además de todo esto, la base de datos incluía lo que los ecuatorianos llaman cedulas . Una cédula es un número de identificación nacional, y es básicamente el equivalente del número de seguro social de los EE. UU.

Si eres un ladrón de identidad, este tipo de datos serían sueños. Sin embargo, el servidor con fugas contenía mucho más que eso. Había suficiente información sobre los miembros de la familia de las personas para reconstruir básicamente cada árbol genealógico del país, incluidos los datos personales de cerca de 7 millones de niños. Una vez más, estamos hablando de nombres , domicilios , lugares de nacimiento y cedulas .

La filtración ya se estaba convirtiendo en bastante horrible, y Cimpanu, Locar y Rotem ni siquiera habían revisado los datos recopilados por organizaciones privadas.

Los nombres de varias empresas privadas estaban presentes dentro de la base de datos, pero los que se destacaron entre la multitud fueron el Banco del Instituto Ecuatoriano de Seguridad Social o BIESS, un banco público, y la Asociación de Empresas Automotrices del Ecuador o AEADE, una asociación de empresas que trabajan en la industria automotriz.

Había alrededor de 7 millones de registros de BIESS que contenían datos sobre el bienestar financiero de las personas, incluido el estado de la cuenta bancaria, el saldo de la cuenta bancaria , el tipo de crédito y los detalles del trabajo . Los registros de AEADE exponen la información de aproximadamente 2.5 millones de propietarios de automóviles. Esto incluye la marca y el modelo del automóvil, sus placas de matrícula , la fecha de registro , etc. Combine estos detalles con el resto de la información filtrada, y verá que la seguridad tanto del automóvil como de su propietario podría verse seriamente amenazada. riesgo.

¿Quién es responsable de la fuga?

Aunque contenía información sobre personas que ya no están entre nosotros, esta no era una vieja base de datos olvidada que se había compilado años atrás. Parte de la información que contenía era bastante reciente, lo que significaba que eliminarla lo más rápido posible era aún más importante.

Después de investigar un poco, Rotem, Locar y Cimpanu descubrieron que el servidor Elasticsearch mal configurado pertenecía a una compañía de análisis llamada Novaestrat. Lo que no lograron aprender fue cómo Novaestrat consiguió sus datos y si estaba o no autorizado para hacerlo porque los múltiples intentos que hicieron para contactar a la empresa no tuvieron éxito. Afortunadamente, el Equipo de Respuesta a Emergencias Informáticas de Ecuador (CERT) fue mucho más útil, y después de que se involucró, la base de datos se desconectó.

En este punto, es imposible decir si alguien que no haya sido investigador de vpnMentor o el reportero de ZDNet haya accedido a los datos filtrados. Los ciudadanos ecuatorianos solo pueden esperar que los ciberdelincuentes hayan llegado demasiado tarde a la fiesta. Sin embargo, teniendo en cuenta el nivel de detalles que quedaron expuestos, su prioridad número uno debería ser mantener los ojos bien abiertos en busca de signos de mal uso de su información.