BRECHA: Una fuga de datos expone la información personal de más de 14 millones de ciudadanos chilenos
WizCase ha descubierto una fuga en una base de datos que contiene información personal identificable de más de 14 millones de ciudadanos chilenos de edades a partir de 17. La base de datos de 3 GB estaba alojada por Softlayer Tecnologies en Dallas, Texas, EE.UU., pero ellos no son los responsables de la fuga.
Lo que ocurre
Daniel Brown, líder del equipo de ciberseguridad de WizCase y hacktivista, encontró una fuga en una base de datos que contiene información de prácticamente todos los adultos chilenos. Nuestro equipo ha intentado identificar a los propietarios de la base de datos sin éxito hasta ahora.
Por ese motivo, el 30 de julio decidimos contactar con la empresa de hosting.
Un resumen de la base de datos expuesta
La base de datos incluye:
- Nombre
- Género
- Dirección
- Edad
- Número RUT – se trata del número de identificación nacional, similar al número de la seguridad social en otros países. Puede usarse para abrir cuentas bancarias, tarjetas de crédito, realizar compras en Internet y más.
- Número de ID – Tras investigar, descubrimos que no se trata de un número de identificación de pasaporte ya que no es un número de 9 cifras. Creemos que podría ser un número de identificación personal.
¿A quién afecta esta fuga?
Según datos censales de World Population Review, se estima que en Chile viven unos 14,5 millones de adultos, por lo que es seguro asumir que esta base de datos contiene toda la población adulta del país.
Hicimos una búsqueda rápida y pudimos descubrir el número RUT y la dirección del presidente chileno Sebastián Piñera, así como de la antigua presidenta Michelle Bachelet.
Se encontró información personal identificable del presidente Piñera y de la antigua presidenta Bachelet
Esta información puede ser extremadamente valiosa si cae en las manos equivocadas. El RUT (Rol Único Tributario) es un número de identificación fiscal (es el mismo que el RUN o Rol Único Nacional, el cual es un número de ID de registro civil) y se requiere para cualquier operación financiera, como:
- Comprar una casa
- Comprar un coche
- Abrir una cuenta bancaria
- Obtener puntos de fidelización en una tienda
- Comprar un teléfono
Para un hacker que tenga el nombre completo, la dirección el número de identificación fiscal y el ID de registro civil de una persona sería sencillo realizar varios tipos de estafas financieras y de robo de identidad en nombre de la persona.
Además, acceder a la dirección privada de una persona podría permitir el robo simplemente monitorizando sus cuentas de redes sociales y su paradero.
¿Cómo ocurrió? Cómo se puede evitar
La fuga ocurrió debido a un buscador Elasticsearch no seguro en un servidor expuesto. La configuración por defecto de Elasticsearch no requiere mecanismo de autenticación ya que está diseñado para ser instalado en redes internas; si un servidor como este está abierto a Internet, cualquiera con la dirección IP y el puerto podría acceder a él.
Un buen enfoque de “seguridad profunda” habría ayudado a proteger los datos, lo que implica establecer varias líneas de defensa por si algunas son superadas o resultan estar mal configuradas. Por ejemplo, si el servidor no está configurado adecuadamente (no se encuentra detrás de un cortafuegos/está expuesto/etc.), la segunda línea de defensa (autenticación por contraseña) podría haber ayudado a proteger los datos.
¿Quién es Wizcase?
WizCase es una web de ciberseguridad internacional que se centra en análisis de VPNs objetivos y tutoriales. Nuestro equipo de investigación de seguridad incluye a uno de los hacktivistas líderes que continuamente buscan fugas de datos significativas. Antes de informar al público de la brecha siempre intentamos contactar con las empresas para que puedan arreglarla y proteger los datos de sus usuarios.
