La ciberseguridad de la aplicación que se dedicaba a realizar transacciones digitales filtró por error siete millones de datos confidenciales en India
Los clientes de una aplicación en India llamada Bharat Interface for Money (BHIM), dedicada a realizar pagos a través de dispositivos móviles, tuvo una filtración de información confidencial de sus clientes a causa del uso indebido de un bucket S3 de Amazon Web Service (AWS por sus siglas en inglés). En un inicio se creyó que solamente habían sido afectados dos mil 700 personas, pero descubrieron que la suma de todos los usuarios ascendía a siete millones.
El grupo de investigadores por parte de vpnMentor encabezados por Noam Rotem y Ran Locar descubrió una enorme cantidad de datos financieros confidenciales y esa información estaba siendo desviada a un sitio web vinculado a la aplicación de pago móvil BHIM de India y la información de los usuarios quedó totalmente expuesta al público sin poder cifrar por una mala configuración de la aplicación.
Por otra parte, la forma de convencer a los usuarios de utilizar la app era a través de una propaganda comercial, donde recabaron firmas de los potenciales clientes en toda India. Los datos de esta campaña publicitaria se almacenaban en el bucket S3 proporcionado por la compañía Amazon y el encriptado de los datos era deficiente, por lo tanto afectó a millones de personas en todo el país. Los clientes estuvieron expuestos a fraudes, robos, ciberataques, entre otros, realizados por los hackers, aunque pudo resolverse en cuestión de minutos.
Tratar de resolver un ciberataque de esta magnitud requiere tiempo y una atención cuidadosa, además de trabajo arduo con la intención de identificar lo que está en juego y quién robó toda esa información confidencial. Según vpnMentor, el bucket S3 al ser expuesto fue identificado con una insignia de "csc-bhim" y el grupo de ciberseguridad logró vincular a los desarrolladores detrás del sitio web cscbhim.in como los propietarios de los datos.
Asimismo, la compañía contactó al Equipo de Respuestas a Emergencias Informáticas de India (CERT-In por sus siglas en inglés) quienes son los encargados de la ciberseguridad de la plataforma y al no recibir una respuesta, la organización se comunicó con AWS para notificar la configuración incorrecta del bucket S3, pero no hubo contacto alguno lo que mantuvo por varios minutos expuesta toda esa información.
La vulnerabilidad de la seguridad de BHIM fue tan delicada que no solo contenía información de los clientes, sino también se filtraron un millón de datos en listas masivas en formato Excel con información sobre las empresas inscritas en la aplicación y los ID utilizados por los propietarios de los inversionistas para realizar transacciones a través de la plataforma móvil.
Hasta el momento, las declaraciones por parte de la compañía no ha sido esclarecida del todo, solo aseguran haber reparado el daño, pero no han publicado un comunicado oficial al respecto. Los fraudes digitales son muy comunes cuando no existe una seguridad lo suficientemente eficaz como para detener a los malwares que pueden hacer estragos de gran magnitud en las compañías, por lo tanto, invertir en una buena seguridad cibernética es, por ahora, la mejor opción par