El volumen de archivos comprometidos creció un 50% en 2018
- Endpoint
2.300 millones de archivos fueron expuestos debido a la mala configuración de las tecnologías de almacenamiento de archivos más utilizadas. Casi la mitad los archivos se expusieron a través del protocolo Server Message Block. Le siguen otras tecnologías como los servicios de FTP y rsync.
Digital Shadows ha publicado los hallazgos de un nuevo informe de su equipo de investigación que evalúa la escala de la exposición inadvertida de datos globales. La investigación revela la exposición de 2.300 millones de archivos en 2018, incluyendo datos de los clientes, como los escaneos de pasaportes y estados de cuenta bancarios, así como información corporativa, como las credenciales de los sistemas de la empresa. Este dato representa un aumento de más de 750 millones de archivos comparado con el año anterior, lo que representa un aumento anual de más del 50%. La exposición podría poner a muchas empresas situación de incumplimiento de GDPR.
La causa de esta exposición de datos se debe a la mala configuración de las tecnologías de almacenamiento de archivos más utilizadas. Casi el 50% de los archivos (1.071 millones) se expusieron a través del protocolo Server Message Block, una tecnología para compartir archivos diseñada por primera vez en 1983. Otras tecnologías mal configuradas son los servicios de FTP (20% del total), rsync (16%), Amazon S3 (8%) y los dispositivos NAS (3%).
Los riesgos de esta exposición para las organizaciones son graves. No solo por las sanciones impuestas por las leyes de privacidad de datos como GDPR, sino porque los datos expuestos ofrecen a los atacantes todo lo que necesitan para lanzar ataques personalizados dirigidos a sus clientes, empleados y terceras compañías. Por ejemplo, Digital Shadows observó que más de 17 millones de archivos expuestos han sido cifrados con ransomware, de los cuales, 2 millones han sido cifrados por la recientemente descubierta variante ‘NamPoHyu’. Las empresas probablemente se han visto afectadas por estos ataques de ransomware y pueden no ser conscientes.
En otro ejemplo, se descubrió que una pequeña empresa de consultoría de TI en el Reino Unido estaba exponiendo 212.000 archivos, muchos de los cuales pertenecían a sus clientes, con listas de contraseñas en texto sin formato. Este es un excelente ejemplo de organizaciones que confían sus datos a terceros y no tienen visibilidad cuando esos terceros no los mantienen seguros.
Los riesgos para los consumidores también son altos. Con la gran cantidad de datos expuestos por organizaciones, los atacantes pueden usar fácilmente esa información para ejecutar ataques dirigidos contra los propios individuos. Por ejemplo, la investigación encontró un servidor FTP abierto que contiene todo lo que un atacante necesitaría para realizar un robo de identidad, incluidas las solicitudes de empleo, fotos personales, imágenes de pasaportes y estados de cuenta bancarios. El equipo también encontró 4,7 millones de archivos médicos expuestos, la mayoría de los cuales eran archivos de imágenes médicas. Con las regulaciones de GDPR en vigor, los consumidores afectados por esta exposición tienen más poder que nunca para actuar en contra de las organizaciones que permitieron que sus datos se expusieran.
