Commeasure, la empresa singapurense que opera el sitio de reservas hoteleras RedDoorz, se enteró el 19 de septiembre de 2020, a través de una empresa estadounidense de ciberseguridad, de que se habían filtrado datos de clientes. Los datos personales de casi 5,9 millones de clientes del Sudeste Asiático, en su mayoría de Indonesia y unos 9.000 de Singapur, incluían nombres, números de contacto, correos electrónicos, fechas de nacimiento, contraseñas de cuenta cifradas e información de reservas. Los datos se ofrecieron a la venta en un foro de hackers. No se accedió a los números de tarjetas de crédito enmascarados.
La PDPC de Singapur determinó que los hackers probablemente llegaron a la base de datos en la nube de Amazon de la empresa usando una clave de acceso de AWS incrustada en un paquete de aplicación Android (APK) que Commeasure creó en 2015. Incrustar claves en el código va en contra de las recomendaciones de AWS, la clave estaba etiquetada erróneamente como «clave de prueba» y el APK, aunque se consideraba obsoleto, siguió disponible para su descarga en Google Play hasta que se descubrió la brecha.
Como el APK se consideraba obsoleto, quedó fuera de la revisión y las pruebas de seguridad que Commeasure encargó entre septiembre y diciembre de 2019, y también fuera de una herramienta de seguridad que podría haber impedido que se encontrara la clave. La PDPC atribuyó esto a la negligencia en el mantenimiento de un inventario de los activos de TI en producción, y señaló que las revisiones no fueron suficientemente rigurosas. Impuso a Commeasure una multa de 74.000 SGD en una resolución emitida el 11 de noviembre de 2021.
Se filtraron los datos de unos 5,9 millones de clientes; la PDPC impuso a Commeasure una multa de 74.000 SGD en noviembre de 2021 por la mayor brecha de datos de Singapur en virtud de la PDPA
Se incrustó directamente una clave de acceso de AWS en un paquete de aplicación, en contra del propio consejo de AWS de no poner claves en el código.
La clave estaba mal etiquetada como «clave de prueba», lo que la hacía parecer inofensiva.
El APK se consideraba obsoleto, por lo que no estaba en el inventario de activos de TI y quedó excluido de la revisión de seguridad de 2019.
La PDPC determinó que las revisiones periódicas de seguridad fueron inútiles para esta exposición porque el APK afectado nunca estuvo dentro de su alcance.
Un activo olvidado sigue siendo una superficie de ataque. Si una app o una clave «obsoleta» no está en el inventario de TI, queda fuera de todas las revisiones de seguridad, y a los atacantes les basta con encontrarla una vez.
La PDPC tuvo en cuenta las dificultades que la pandemia había causado al sector hotelero y las medidas correctivas de la empresa al fijar la multa de 74.000 SGD, muy por debajo del máximo de 1 millón de SGD entonces vigente y de la multa combinada de 1 millón de SGD impuesta a SingHealth e IHiS por la brecha de 2018. Tras el incidente, Commeasure restringió el acceso a la base de datos en vivo a direcciones IP incluidas en una lista blanca y añadió la autenticación de dos factores para las herramientas de desarrollo. En el momento de la resolución, todos los desarrolladores, salvo un cofundador y el director de tecnología, habían dejado la empresa.
CONSULTA LAS PRUEBAS
Las fuentes
- Data of 5.9m customers of RedDoorz hotel booking site leaked in Spore's largest data breach The Straits Times · straitstimes.com ·