Más de 200 millones de registros que contienen una amplia gama de información relacionada con la propiedad de los residentes de EE. UU. Quedaron expuestos en una base de datos a la que se podía acceder en la web sin requerir contraseña ni autenticación.

Los datos expuestos, una combinación de detalles personales y demográficos, incluían el nombre, la dirección, la dirección de correo electrónico, la edad, el sexo, el origen étnico, el empleo, la calificación crediticia, las preferencias de inversión, los ingresos, el patrimonio neto y la información de la propiedad, como:

• Valor de mercado
• Tipo de propiedad
• Monto, tasa, tipo y prestamista de la hipoteca
• Cantidad de refinanciación, tasa, tipo y prestamista
• Propietarios anteriores
• Año de construcción
• Numero de camas y baños
• Información de evaluación fiscal

Según la firma de seguridad Comparitech, se dice que la base de datos, que estaba alojada en Google Cloud, fue indexada por primera vez por el motor de búsqueda BinaryEdge el 26 de enero y descubierta un día después por el investigador de ciberseguridad Bob Diachenko.
Pero después de no poder identificar al propietario de la base de datos, el servidor se desconectó más de un mes más tarde ayer.

"Hemos estado tratando de contactar al equipo de seguridad en la nube de Google (IP con la base de datos fue alojada en su nube) para que eliminen la IP pero nunca obtuvieron una respuesta", dijo el equipo de investigación a The Hacker News. "No hubo otras formas de determinar el propietario porque no había registros DNS inversos disponibles debido a la naturaleza de la IP basada en la nube".

En total, la base de datos constaba de 201,162,598 registros, con cada entrada correspondiente a un individuo único.

Comparitech señaló que durante el tiempo que tuvo acceso a la base de datos, "se estaba actualizando con nuevos datos, lo que sugiere que la información contenida es bastante reciente".

Además, la filtración plantea preguntas sobre la identidad del servicio que necesitaría almacenar datos demográficos y de identificación personal tan detallados de este tipo.

Advertencia de phishing

Dado que los datos no se protegieron adecuadamente, no está claro de inmediato si otras partes no autorizadas accedieron a esta base de datos y descargaron su contenido. La consecuencia de dicha exposición es la mayor posibilidad de ataques dirigidos de phishing.
"La información detallada personal, demográfica y de propiedad contenida en este conjunto de datos es una mina de oro para los spammers, estafadores y cibercriminales que realizan campañas de phishing", dijo Comparitech. "Los datos permiten que los delincuentes no solo apunten a personas específicas, sino que elaboren un mensaje más convincente".

Específicamente, los atacantes podrían apuntar a personas con correos electrónicos de phishing para entregar todo tipo de malware que pueda descargar programas maliciosos y robar información confidencial.

Por lo tanto, es crucial que los usuarios activen la autenticación de dos factores para agregar una segunda capa de protección de la cuenta.

El incidente no es el único momento instancias de servidores con fugas han dibujado titulares. En meses recientes, ecuatoriano y Ruso ciudadanos, y Personal del gobierno de EE. UU. han dejado su información personal sin protección en los servidores Elasticsearch, lo que subraya que todavía hay un largo camino por recorrer en lo que respecta a la seguridad en la nube.