El investigador de ciberseguridad, Jeremiah Fowler, descubrió e informó a Website Planet sobre una base de datos no protegida por contraseña que contenía 769 millones de registros pertenecientes a ClickBalance – un proveedor de software que ofrece múltiples servicios empresariales basados en la nube para automatizar los procesos de administración, contabilidad, inventario, nóminas y más.
La base de datos expuesta públicamente contenía información potencialmente sensible como tokens de acceso, claves API, claves secretas, números de cuentas bancarias, números de identificación fiscal y 381.224 direcciones de correo electrónico.
En conjunto, la base de datos contenía 769.333.246 registros con un tamaño total de 395 GB. Tras investigar más a fondo, descubrí que los registros pertenecían a ClickBalance, uno de los mayores proveedores de tecnología de planificación de recursos empresariales (ERP) de México. Tras descubrir la base de datos, envié inmediatamente un aviso de divulgación responsable, y el acceso público se restringió en cuestión de horas. No se sabe cuánto tiempo estuvo expuesta la base de datos ni si alguien más tuvo acceso a ella.
Sólo una auditoría forense interna podría identificar accesos adicionales o actividades potencialmente sospechosas. No recibí respuesta de ClickBalance después de mi aviso de divulgación ni en ningún momento antes de la publicación.
ClickBalance ofrece software de planificación de recursos empresariales (ERP) como un conjunto de aplicaciones basadas en la nube a las que las organizaciones pueden acceder desde cualquier lugar y dispositivo. Las herramientas ERP se utilizan para gestionar y automatizar diversos procesos empresariales en una serie de departamentos diferentes. Estos pueden incluir finanzas, recursos humanos, cadena de suministro, fabricación, ventas, entre otros. El objetivo general de un sistema ERP es centralizar los datos y dar al usuario acceso a información en tiempo real sobre una amplia gama de operaciones empresariales.
Cualquier empresa tecnológica que gestione una amplia gama de datos de partes interesadas internas y externas, incluidos múltiples clientes, empleados y usuarios finales, puede enfrentarse a considerables retos de protección de datos. Esto se debe a la gran cantidad de información que necesitan almacenar para cada cliente, y suelen tener un elevado número de clientes. Por ejemplo, los sistemas ERP, CRM (gestión de relaciones con los clientes) y CDM (gestión de datos de clientes) están diseñados para rastrear, gestionar y supervisar una amplia gama de datos que pueden incluir registros financieros, datos personales de clientes, detalles de empleados y datos comerciales patentados. Esto significa que una violación de datos relativa a cualquiera de estos sistemas puede exponer información empresarial potencialmente sensible, lo que puede acarrear riesgos operativos y estratégicos a largo plazo. Por desgracia, cuando se exponen datos empresariales o financieros, no se sabe cómo pueden utilizarlos los ciberdelincuentes en el futuro.
Nota completa en: Website Planet