Thousands of Indian bank transfer records found online.
Créditos de la imagen: Prakash Singh / Bloomberg / Getty Images
Una filtración de datos de un servidor en la nube no seguro ha expuesto cientos de miles de documentos sensibles de transferencias bancarias en India, revelando números de cuenta, cifras de transacciones y detalles de contacto de individuos.
Investigadores de la firma de ciberseguridad UpGuard descubrieron a finales de agosto un servidor de almacenamiento en la nube accesible públicamente alojado en Amazon que contenía 273,000 documentos PDF relacionados con transferencias bancarias de clientes indios.
Los archivos expuestos incluían formularios de transacción completos destinados a ser procesados a través del National Automated Clearing House, o NACH, un sistema centralizado utilizado por bancos en India para facilitar transacciones recurrentes de alto volumen, como salarios, reembolsos de préstamos y pagos de servicios públicos.
La información estaba vinculada a al menos 38 instituciones bancarias y financieras, según los investigadores de TechCrunch.
No está claro por qué los datos quedaron expuestos públicamente y accesibles a Internet, aunque las fallas de seguridad de este tipo no son inusuales debido a configuraciones incorrectas y errores humanos.
Sin embargo, sigue siendo incierto quién causó la filtración de datos, quién los aseguró y quién es finalmente responsable de alertar a aquelloswhose personal data was exposed.
Los datos se aseguraron, pero nadie asume la responsabilidad
En su entrada de blog detallando sus hallazgos, los investigadores de UpGuard dijeron que de una muestra de 55,000 documentos, más de la mitad de los archivos mencionaban el nombre del banco indio Aye Finance, que había presentado una oferta pública inicial de $171 millones el año pasado. El siguiente banco en aparecer con mayor frecuencia en los documentos de muestra fue el Banco Estatal de la India, según los investigadores.
Después de descubrir los datos expuestos, los investigadores de UpGuard notificaron a Aye Finance a través de sus direcciones de correo electrónico corporativas, de atención al cliente y de resolución de quejas. También alertaron a la National Payments Corporation of India, o NPCI, el organismo gubernamental responsable de gestionar NACH.
Para principios de septiembre, los investigadores dijeron que los datos aún estaban expuestos y que se estaban agregando miles de archivos al servidor expuesto diariamente.
UpGuard dijo que luego alertó al equipo de respuesta a emergencias de computadoras de India, CERT-In. Poco después, los datos expuestos fueron asegurados, según los investigadores de TechCrunch.
Sin embargo, nadie parece querer asumir la responsabilidad de la falla de seguridad.
Cuando se le solicitó un comentario, el portavoz de NPCI, Ankur Dahiya, le dijo a TechCrunch que los datos expuestos no provenían de sus sistemas.
“Un verificación y revisión detallada han confirmado que no se ha expuesto ni comprometido información relacionada con mandatos de NACH de los sistemas de NPCI,” dijo el portavoz en un correo electrónico enviado a TechCrunch.
El cofundador y CEO de Aye Finance, Sanjay Sharma, no respondió a una solicitud de comentario de TechCrunch. El Banco Estatal de la India tampoco respondió a una solicitud de comentario.