Ciberseguridad

FedEx, datos de clientes se han expuesto en línea, gracias a la división no segura AWS S3.

En julio de 2017, FedEx Corporation anunció que su compañía subsidiaria TNT Express enfrentaba problemas debido a la infección causada por el ataque Petya ransomware. En el ataque la compañía no tuvo idea de la reactivación de algunos de los sistemas afectados, mientras que sus ganancias trimestrales se redujeron en $300 millones.

Ahora, una firma de seguridad informática descubrió datos de 2009-2012 pertenecientes a los clientes de FedEx y que fueron expuestos en línea para que cualquiera pueda acceder a ella.

La compañía encontró 119,000 registros de clientes incluyendo copias escaneadas de pasaportes, permisos de conducir e identificaciones de seguridad de estadounidenses y clientes internacionales como Australia, Canadá, China, Japón, Kuwait, México, Malasia, Arabia Saudita, países de la Unión Europea y otros.

De acuerdo con la compañía de seguridad informática, uno de los archivos también contenía nombres, números de teléfono, direcciones de casas y códigos postales de clientes, sin embargo, no se encontraron correos electrónicos o contraseñas en el segmento S3 no seguro de Amazon Web Services (AWS).

Además, los investigadores afirman que los datos nunca fueron accedidos por terceros o partes malintencionadas. En una investigación a fondo realizada por investigadores en seguridad informática reveló que los datos pertenecían a Bongo International LLC, una compañía que FedEx compró en 2014. Sin embargo, el servicio se cerró en abril de 2016, pero los datos permanecieron en el servidor.

Un experto en la industria de seguridad cibernética especializado en la nube, comento por email que: “Las infracciones de seguridad en la nube han plagado a la industria durante más de un año. Desafortunadamente, este problema no va a desaparecer pronto a pesar de los esfuerzos de los proveedores de servicios en la nube para proporcionar herramientas adicionales a las organizaciones para detectar tales configuraciones erróneas ya que los usuarios realizan cambios en los permisos de uso compartido sin la supervisión de un profesional en seguridad informática”.

“Incluso si una organización exige una supervisión estricta para garantizar que tales errores no se cometan dentro de su propio entorno de nube pública, aún debe garantizar que los proveedores terceros que tengan acceso a los datos confidenciales de la organización estén tomando medidas similares. En el caso de FedEx, esta violación fue el resultado de negligencia por parte de Bongo International”.

Aunque los datos han sido asegurados, la pesadilla para FedEx está comenzando, ya que los datos expuestos contenían datos personales de ciudadanos de la UE. Recuerde, los países de la Unión Europea tienen leyes estrictas para proteger la privacidad de sus ciudadanos.