BRECHA: Una fuga de datos expone la información personal de más de 14 millones de ciudadanos chilenos

WizCase ha descubierto una fuga en una base de datos que contiene información personal identificable de más de 14 millones de ciudadanos chilenos de edades a partir de 17. La base de datos de 3 GB estaba alojada por Softlayer Tecnologies en Dallas, Texas, EE.UU., pero ellos no son los responsables de la fuga.

Lo que ocurre

Daniel Brown, líder del equipo de ciberseguridad de WizCase y hacktivista, encontró una fuga en una base de datos que contiene información de prácticamente todos los adultos chilenos. Nuestro equipo ha intentado identificar a los propietarios de la base de datos sin éxito hasta ahora.

Por ese motivo, el 30 de julio decidimos contactar con la empresa de hosting.

Un resumen de la base de datos expuesta

La base de datos incluye:

¿A quién afecta esta fuga?

Según datos censales de World Population Review, se estima que en Chile viven unos 14,5 millones de adultos, por lo que es seguro asumir que esta base de datos contiene toda la población adulta del país.

Hicimos una búsqueda rápida y pudimos descubrir el número RUT y la dirección del presidente chileno Sebastián Piñera, así como de la antigua presidenta Michelle Bachelet.

Se encontró información personal identificable del presidente Piñera y de la antigua presidenta Bachelet

Esta información puede ser extremadamente valiosa si cae en las manos equivocadas. El RUT (Rol Único Tributario) es un número de identificación fiscal (es el mismo que el RUN o Rol Único Nacional, el cual es un número de ID de registro civil) y se requiere para cualquier operación financiera, como:

Para un hacker que tenga el nombre completo, la dirección el número de identificación fiscal y el ID de registro civil de una persona sería sencillo realizar varios tipos de estafas financieras y de robo de identidad en nombre de la persona.

Además, acceder a la dirección privada de una persona podría permitir el robo simplemente monitorizando sus cuentas de redes sociales y su paradero.

¿Cómo ocurrió? Cómo se puede evitar

La fuga ocurrió debido a un buscador Elasticsearch no seguro en un servidor expuesto. La configuración por defecto de Elasticsearch no requiere mecanismo de autenticación ya que está diseñado para ser instalado en redes internas; si un servidor como este está abierto a Internet, cualquiera con la dirección IP y el puerto podría acceder a él.

Un buen enfoque de “seguridad profunda” habría ayudado a proteger los datos, lo que implica establecer varias líneas de defensa por si algunas son superadas o resultan estar mal configuradas. Por ejemplo, si el servidor no está configurado adecuadamente (no se encuentra detrás de un cortafuegos/está expuesto/etc.), la segunda línea de defensa (autenticación por contraseña) podría haber ayudado a proteger los datos.

¿Quién es Wizcase?

WizCase es una web de ciberseguridad internacional que se centra en el análisis de VPNs y tutoriales. Nuestro equipo de investigación de seguridad incluye a uno de los hacktivistas líderes que continuamente buscan fugas de datos significativas. Antes de informar al público de la brecha siempre intentamos contactar con las empresas para que puedan arreglarla y proteger los datos de sus usuarios.