En la filtración pueden encontrarse números de teléfono, DNI, emails, contraseñas en texto plano, cuentas corrientes y más información sensible.
El grupo español La 9 de Anonymous ha revelado una brecha de seguridad en la web de reservas de La Alhambra de Granada, monumento ubicado en la comunidad de Andalucía y visitado por millones de usuarios al año. No es necesario haber reservado a través de la web para verse expuesto, ya que la misma es utilizada por múltiples agencias de reservas.
La vulnerabilidad, al menos presente desde 2017, consistía en una inyección SQL de manual, que según ha podido confirmar Teknautas se trataría de un fallo de fácil explotación, y probablemente detectable usando herramientas accesibles por todo el mundo con SQLMap y sin demasiados conocimientos de seguridad. Además, la explotación resultaba mucho más sencilla debido a que el servidor no contaba con WAF.
La filtración incluye los datos de 4,5 millones de visitantes, abarcando número de teléfono, DNI, correo electrónico, dirección postal, edad y sexo, entre otros datos. Esta parte de la filtración no incluye contraseñas, al no usar la web login para los visitantes.
La que sí incluye contraseñas es la filtración de los datos de agencias de viajes. Cerca de 1000 agencias han visto sus datos expuestos, incluyendo contraseñas en texto plano, una clara negligencia penable por la Ley de Protección de Datos. Por si fuese poco, también se almacenaban las cuentas corrientes con su IBAN.
Hiberus, la empresa responsable del software comprometido, ha lanzado una nota de prensa intentando quitar gravedad a los hechos. En ella se afirma que se trataría de un «ataque informático profesional y organizado», y ha añadido en un comunicado enviado a El Confidencial que, «a fecha de hoy, cualquier incidente que haya podido ocurrir está resuelto y correctamente gestionado». Sin embargo, hay otras webs del mismo grupo que aún no han corregido el error.
Bien es cierto que otras webs que usan este mismo software, como pueden ser las de los museos de El Prado o el Thyssen, cuentan desde hace tiempo con una versión actualizada que corrige este error. Sin embargo, no se han preocupado de actualizar otras webs más pequeñas, o la de La Alhambra, como se ha revelado con esta filtración.
Tras lo sucedido, queda patente la necesidad de realizar auditorías antes del lanzamiento de una aplicación de este tipo. Porque errores tan graves como almacenar en texto plano las contraseñas, o las cuentas corrientes en la misma base de datos, son fáciles de detectar y solucionar.
Fuente:
Agujero en la web de entradas a la Alhambra: los datos de 4,5 M de visitantes, al descubierto:
https://www.elconfidencial.com/tecnologia/2019-05-22/alhambra-hiberus-sicomoro-patronato-generalife-junta-andalucia_2013846/
Menudo desastre.
Pero vamos a ver. La frase «a fecha de hoy, cualquier incidente que haya podido ocurrir está resuelto y correctamente gestionado» es en sí misma un oxímoron. El tiempo verbal utilizado («cualquier incidente que HAYA PODIDO OCURRIR») da a entender que no sabes exactamente qué ha ocurrido. ¿Cómo es posible tener «resuelto y correctamente gestionado» algo que ni siquiera sabes qué es, ni si ha ocurrido realmente o no? En fin, muy triste. Esta empresa, además de llevar a cabo unas prácticas lamentables de seguridad informática, parece que también tiene problemas de comunicación… Espero que tengan una multa ejemplar por parte de la AEPD.