Millones de mensajes SMS, algunos de los cuales contenían códigos de inicio de sesión y autenticación, han sido expuestos

Hemos hablado en el pasado sobre cómo usar mensajes de texto como medio para transferir información confidencial no es una muy buena idea. La tecnología detrás de los mensajes SMS es simplemente demasiado antigua, y la creciente popularidad del intercambio de SIM hace que esta forma de comunicación no sea adecuada para cosas como los códigos 2FA. La semana pasada, Noam Rotem y Ran Locar descubrieron que los SMS también pueden exponer datos en otros escenarios.

Las personas interesadas en las noticias de seguridad cibernética reconocerán a Rotem y Locar como las personas que encabezan un equipo de investigadores de VPN Mentor. En los últimos meses, han estado trabajando en un proyecto de mapeo web diseñado para "hacer que Internet sea más seguro para todos los usuarios". Los expertos están haciendo esto mediante la identificación de servidores y bases de datos que exponen información confidencial, y han sido responsables del descubrimiento de algunas fugas enormes. El 26 de noviembre, encontraron otro.

Un proveedor de soluciones de SMS deja decenas de millones de mensajes de texto en una base de datos expuesta

El martes pasado, Rotem y Locar descubrieron una base de datos Elasticsearch que estaba alojada por Microsoft Azure y se ejecutaba en Oracle Marketing Cloud. Contenía cerca de mil millones de entradas que contenían un total de 604 GB de información, y los expertos se dieron cuenta rápidamente de que TrueDialog, una compañía que brinda diversos servicios de SMS a empresas de todo el mundo, la había presentado rápidamente.

Alguien en TrueDialog colocó todas esas entradas en una base de datos con conexión a Internet y luego olvidó protegerlas con una contraseña. Como resultado, aunque las instalaciones de Elasticsearch generalmente no son accesibles a través de un navegador, los investigadores lograron no solo encontrarlas sino también escanearlas con la ayuda de la manipulación de URL.

Entre los registros expuestos, Rotem y Locar localizaron decenas de millones de mensajes de texto enviados a usuarios finales con la ayuda de los servicios de TrueDialog. La base de datos reveló no solo el contenido de los mensajes, sino también sus marcas de tiempo y los números de teléfono de los destinatarios. Según Zack Whittaker de TechCrunch, quien también ha visto los datos, la mayoría de los SMS expuestos contenían alertas de trabajo, marketing y otros mensajes relativamente intrascendentes, pero también había textos que contenían códigos de inicio de sesión y de dos factores, incluidos los de servicios médicos en línea y sitios web como Facebook y Google. Desafortunadamente, estos están lejos de ser las únicas piezas de información sensible que quedaron expuestas.

TrueDialog también expuso muchas credenciales de inicio de sesión

Además de los mensajes de texto, Rotem y Locar también encontraron millones de direcciones de correo electrónico, nombres de usuario y contraseñas. Algunas contraseñas se almacenaron en texto sin formato, mientras que el resto se codificó con Base64, que es ridículamente fácil de revertir. Todo esto pertenecía a clientes de TrueDialog que podrían haber sufrido muchos daños como resultado de la exposición. Desafortunadamente, los usuarios finales desprevenidos también fueron puestos en riesgo.

Cientos de miles de registros contenían datos personales que pertenecían a personas reales, incluidos nombres, direcciones físicas y de correo electrónico, números de teléfono, etc. Desafortunadamente, los expertos no pueden decir cuántos usuarios se vieron afectados debido a un problema con la funcionalidad de búsqueda de la base de datos. Sin embargo, según Rotem y Locar, las soluciones de SMS de TrueDialog pueden enviar mensajes de texto a hasta 5 mil millones de suscriptores, y probablemente pueda imaginar lo que sucedería si incluso una pequeña porción de esas personas terminara con sus datos expuestos.

TrueDialog entierra su cabeza en la arena

Como era de esperar, Noam Rotem y Ran Locar intentaron ponerse en contacto con TrueDialog inmediatamente después de descubrir la base de datos expuesta. En menos de un día, la instalación de Elasticsearch mal configurada se desconectó y la fuga se aseguró. La reacción fue rápida, pero en general, TrueDialog puede servir como un ejemplo de cómo no responder a un incidente de seguridad de datos.

La compañía no respondió a los correos electrónicos de Rotem y Locar, y permaneció en silencio incluso después de que Zack Whittaker intentara ponerse en contacto. El volumen de datos expuestos fue significativo, y aunque no hay evidencia de que alguien lo esté abusando activamente, el daño que puede causar es enorme. La fuga fue provocada por un error de configuración, y en un mundo ideal, la compañía responsable de ello trataría de ser lo más transparente posible sobre lo que sucedió y lo que se hizo para garantizar que los usuarios no vuelvan a estar en la misma situación. En un mundo ideal, dicha compañía tampoco estaría almacenando contraseñas de una manera lamentablemente insegura. Desafortunadamente, este no es un mundo ideal, y TrueDialog está actuando como si nada hubiera pasado.