Datos de empleados de Inditex, Real Madrid o Decathlon, expuestos por un fallo en 8Belts

Se ha detectado una nueva brecha de seguridad que ha comprometido datos de cientos de miles de empleados de distintas franquicias y multinacionales. El epicentro del problema reside en la empresa de aprendizaje de idiomas 8Belts, que por culpa de un fallo de seguridad se han expuesto datos de alrededor de 150.000 usuarios a nivel internacional.

El problema ha revelado datos de importante calado, como fechas de nacimiento, númros de teléfono, DNIs e incluso IDs de Skype. No se han visto afectados solo usuarios particulares; en las listas filtradas aparece reflejada información de clientes corporativos.

El fallo estaría originado en una configuración incorrecta de los servidores de almacenamiento de la nube de 8Belts. La firma española tiene numerosos clientes en todo el mundo que podrían sufrir ataques de 'phishing' en los próximos meses a causa de esta filtración.

Datos expuestos de 150.000 usuarios

Código informático. Markus Spiske Unsplash

Según adelanta El País, una investigación de la firma de ciberseguridad vpnMentor habría revelado la brecha de seguridad que ha dejado datos de empleados en todo el muno expuestos. Los empleados afectados pertenecen a multitud de empresas clientes de 8Belts, como Indictex, el Real Madrid o Huawei.

La base de datos que se expuso fue un bucket S3 de los AWS, es decir, los Amazon Web Services. Estos buckets son un tipo de almacenamiento en la nube muy usado entre empresas, que se usan para almacenar información privada. La configuración por defecto de estos S3 solo permite al propietario de la cuenta y al administrador del servicio acceder a estos almacenes de información.

Esto es configurable, por supuesto, y se puede modificar el tipo de acceso que tienen estos buckets a según qué personas. vpnMentor explica que aquí radica el problema; uan mala configuración de estos permisos, provocando la exposición de todos los datos almacenados en el S3. La empresa israelí insiste en que el fallo no reside en los AWS de Amazon, sino que este es un problema del propietario, es decir, 8Belts.

El fallo, que parece haber sido solucionado, ha tenido un serio impacto importante a nivel de privaciad y además podría generar problemas a los implicados debido al alcance de la filtración. Y es que estos datos, al estar expuestos, podrían aprovecharse por hackers.

Un problema serio de privacidad

Código hackeado. TheDigitalArtist | Pixabay

Para entender el problema que dicho fallo puede suponer a largo plazo, hay que incidir en el hecho de que muchos de los registros de la web se hicieron con correos electrónicos de empresas. Los registros tenían datos de residentes "de prácticamente todos los países del planeta", y la información filtrada no se limita a datos personales, sino a datos relacionados con los propios cursos de 8Belts.

vpnMentor no sabe si alguien ha tenido acceso a dicha información, pero el daño podría ser mucho más grave. Esta información es lo suficientemente sensible como para que hackers avezados la recojan para, por ejemplo, realizar campañas de 'phishing' o incluso peor, llevar a cabo suplantaciones de identidad.

Recordemos que los datos filtrados incluyen nombres, números de teléfonos e incluso DNIs, lo que expone a las víctimas a potenciales ataques de mayor calado; estafas bancarias, problemas de empleo, etcétera. En caso de que la víctima sea una persona de renombre, podrían usar sus datos para realizar las ya mencionadas campañas de 'phishing', suplantando su identidad para mandar correos de spam maliciososos.