Más de 85.000 archivos, que incluían información confidencial de 30.000 consumidores de cannabis tanto de uso medicinal como de uso recreativo fueron expuestos debido a un servidor S3 de Amazon Web Services (AWS) de la firma de software THSuite sin securizar.
THSuite proporciona un software para los dispensadores de cannabis en EEUU. Este software está diseñada para simplificar el proceso para los operadores de venta al integrarse automáticamente con el sistema de trazabilidad API de cada estado. Este software recopila grandes volúmenes de información confidencial del usuario necesarios para cumplir con las leyes estatales de Estados Unidos.
La información de identificación personal expuesta incluía: nombres, domicilios y direcciones de correo electrónico, fechas de nacimiento, números de teléfono, números de identificación médica y mucho más, según vpnMentor.
Los investigadores Noam Rotem y Ran Locar de la empresa vpnMentor encontraron la base de datos expuesta mediante un escaneo simple el 24 de diciembre del año pasado. Después de contactar a sus propietarios el 26 de diciembre, el problema finalmente se mitigó el 14 de enero de 2020.
La empresa ha compartido el timeline de las acciones tomadas por el descubridor y el afectado:
- Fecha de descubrimiento : 24 de diciembre de 2019
- Fecha de contacto con los propietarios : 26 de diciembre de 2019
- Fecha de contacto con Amazon AWS : 7 de enero de 2020
- Fecha de cierre de la base de datos : 14 de enero de 2020
Este tipo de filtraciones no sólo acaban engrosando las bases de datos de ciberinteligencia de todo el mundo añadiendo datos privados de usuarios, sino que también son usadas para enviar publicidad segmentada a estos usuarios sobre productos que sean del interés de los usuarios afectados.
Referencias:
https://www.vpnmentor.com/blog/report-thsuite-breach/
