TechCrunch informó el 16 de julio de 2021 que la startup californiana de tecnología de seguros BackNine tenía un bucket de almacenamiento de Amazon mal configurado que permitía a cualquiera acceder a sus 711.000 archivos. BackNine desarrolla software de back-office para aseguradoras que venden seguros de vida y de discapacidad y ofrece un formulario de cotización de marca blanca. Los archivos incluían solicitudes completadas con nombres, direcciones, números de teléfono, números de Seguro Social, diagnósticos, medicamentos, cuestionarios de salud y resultados de laboratorio y pruebas como análisis de sangre y electrocardiogramas, además de imágenes de firmas. Ninguno de los datos estaba cifrado.
Los documentos databan de 2015 hasta el mes del informe. El investigador de seguridad Bob Diachenko envió un correo electrónico a la empresa a principios de junio, obtuvo una respuesta inicial, luego no supo nada más y el bucket permaneció abierto. TechCrunch también contactó al vicepresidente de BackNine, Reid Tattersall, y fue ignorado. Minutos después de que TechCrunch diera el nombre del bucket únicamente a Tattersall, los datos quedaron bloqueados.
Muchas de las solicitudes eran para grandes aseguradoras, incluidas AIG, TransAmerica, John Hancock, Lincoln Financial Group y Prudential, que no hicieron comentarios. BackNine no respondió si había alertado a las autoridades conforme a las leyes estatales de notificación de brechas o si notificaría a las personas afectadas.
711.000 archivos expuestos desde 2015, incluidos números de Seguro Social y datos médicos; no hay confirmación de notificación a las personas afectadas ni a las autoridades.
Debido a que los buckets de Amazon son privados por defecto, alguien en BackNine tuvo que cambiar los permisos a públicos.
Los archivos se almacenaban sin cifrar, por lo que el acceso abierto significaba acceso total a datos personales y médicos sensibles.
La empresa no actuó ante la advertencia del investigador de principios de junio hasta que un periodista nombró el bucket en julio.
Un almacenamiento que es privado por defecto tiene que ser hecho público por alguien. Dejar abiertos los datos de salud de los solicitantes y luego ignorar al investigador que advirtió convierte un error de configuración en una falla de divulgación.
El bucket quedó bloqueado minutos después del correo electrónico de TechCrunch a Tattersall. Al momento de la publicación, BackNine no había respondido a las preguntas de TechCrunch sobre la notificación de brechas, y TechCrunch señaló que las empresas pueden enfrentar sanciones severas por no divulgar un incidente de ciberseguridad.
CONSULTA LAS PRUEBAS
Las fuentes
- An insurtech startup exposed thousands of sensitive insurance applications TechCrunch · techcrunch.com ·