El caso AU10TIX: millones de datos expuestos en una brecha de seguridad que ha afectado a grandes aplicaciones

Un importante proveedor de verificación de identidad, AU10TIX, ha dejado al descubierto información sensible de clientes de empresas como X, TikTok, Coinbase y Uber. La enorme brecha, descubierta en junio de 2024, se extendió durante un año y medio, según las investigaciones. 

El origen de la brecha de datos 

A

U10TIX, una empresa israelí especializada en la verificación de identidad digital sufrió una grave brecha de seguridad que expuso los datos personales de millones de usuarios de sus clientes. Entre los clientes afectados se encuentran algunas de las empresas más populares del mundo, como X, TikTok, LinkedIn, Coinbase, eToro, PayPal, Fiverr, Upwork, Bumble y Uber. 

La brecha se descubrió cuando un investigador de seguridad encontró credenciales expuestas pertenecientes a un empleado de AU10TIX. Estas credenciales incluían contraseñas y tokens para acceder a varias cuentas de la empresa, incluida una plataforma de registro donde se almacenaban los datos de los usuarios verificados. Según las investigaciones, estas credenciales fueron robadas en diciembre de 2022 y se publicaron en Telegram en marzo de 2023. 

La plataforma de registro contenía muchísima información personal: nombres, fechas de nacimiento, nacionalidades e imágenes de documentos de identidad como licencias de conducir y pasaportes. Además, se encontraron datos internos de la tecnología de verificación de AU10TIX, incluyendo resultados de escaneos faciales y métricas de autenticación de documentos y fotos. Un enorme agujero de seguridad con consecuencias impredecibles a largo plazo. 

Quiénes son AU10TIX 

La empresa que dio lugar a la actual AU10TX, ICTS International, nació en 1982 como prestadora de servicios de autenticación documental en aeropuertos. A partir de 2002 se expande, abarcando servicios de verificación digital, y crea la empresa que en 2013 se convertirá en AU10TIX. Esta organización ofrece soluciones de verificación biométrica, credenciales verificables, orquestación de flujos de trabajo, verificación de edad, detección de deepfakes, etc. 

La filtración de datos de AU10TIX es un duro golpe para la privacidad de los usuarios, quienes seguramente ignoran que su información personal más sensible ha sido compartida. 

AU10TIX se defendió asegurando haber tomado medidas para mitigar el daño e insistió en que no había evidencia de que los datos se hubiesen utilizado maliciosamente. La realidad, no obstante, es que los datos expuestos podrían ser usados por cibercriminales para diversos fines ilícitos, como el robo de identidad, fraude financiero o incluso chantaje. 

Qué tienen en común estos graves incidentes 

A pesar de las diferencias en las empresas afectadas, los datos expuestos y las técnicas utilizadas por los cibercriminales, los grandes incidentes de brechas de datos que saltan periódicamente a los medios de comunicación comparten algunas características comunes. No está de más repasar los puntos débiles y recordar que TrustCloud nunca ha sufrido una brecha de datos. 

• Fallas en la seguridad básica: En muchos casos, las brechas de datos se producen debido a fallas básicas de seguridad, como el uso de contraseñas débiles, la falta de autenticación multifactor o la ausencia de medidas de seguridad adecuadas para proteger los datos almacenados. 

• Errores humanos: Los errores humanos, como clics en enlaces de phishing, la pérdida de dispositivos portátiles o la configuración incorrecta de sistemas, también son un factor común en las brechas de datos. 

• Ataques sofisticados: Los cibercriminales están utilizando técnicas cada vez más sofisticadas para obtener acceso a los sistemas informáticos y robar datos. Esto incluye ataques de malware, ataques de phishing dirigidos y ataques de día cero: un tipo de ataque que se aprovecha de una vulnerabilidad de software desconocida para el desarrollador del software y para la comunidad de seguridad. Esto significa que los atacantes son los primeros en descubrir y explotar la vulnerabilidad, lo que les da una ventaja significativa sobre los defensores. 

• Explotación de terceros: A menudo, las brechas de datos se producen a través de proveedores o socios externos que tienen acceso a los datos de la empresa. Esto resalta la importancia de la gestión de riesgos de terceros y la necesidad de implementar medidas de seguridad adecuadas para proteger la cadena de suministro de datos.  

• Falta de transparencia: Muchas empresas no son transparentes sobre las brechas de datos que sufren, lo que dificulta que los usuarios tomen medidas para protegerse. Es importante que las empresas comuniquen los incidentes de seguridad de manera oportuna y transparente, y que brinden a los usuarios información sobre cómo pueden proteger sus datos. Ofrecer información opaca o negar los hechos generará desconfianza, afectando a la credibilidad de la compañía.  

• Falta de responsabilidad: A menudo, no hay consecuencias significativas para las empresas que sufren brechas de datos. Esto crea un incentivo para que las empresas no inviertan lo suficiente en seguridad de datos. Se necesitan regulaciones más estrictas y sanciones más severas para disuadir a las empresas de descuidar la protección de datos. 

La seguridad en verificación de identidad como proyecto continuo 

Este incidente pone de relieve la necesidad de que las empresas adopten métodos de verificación de identidad más seguros que minimicen la necesidad de almacenar datos sensibles. La tokenización, las pruebas de conocimiento cero y la verificación de identidad descentralizada son algunas alternativas que pueden ayudar a proteger la privacidad de los usuarios sin comprometer la seguridad. 

Es crucial que los usuarios también sean conscientes de los riesgos asociados al compartir sus datos personales en línea y tomen medidas para proteger su información, como utilizar contraseñas seguras, habilitar la autenticación multifactorial o MFA y estar atentos a cualquier actividad sospechosa en sus cuentas. 

Solo mediante la adopción de prácticas de seguridad robustas que abarquen la captación y el almacenamiento de datos y un enfoque proactivo en la protección de la privacidad podemos garantizar que nuestra información personal esté segura. 

Conozca nuestro proyecto a prueba de ataques y brechas de datos