Un incidente preocupante ha salido a la luz: una importante filtración de datos procedente de un servidor en la nube sin protección, que ha comprometido documentos bancarios sensibles de numerosos clientes en India. Este fallo, descubierto por investigadores de la firma de ciberseguridad UpGuard, ha llevado a la exposición de información personal relacionada con transacciones bancarias, incluyendo números de cuenta, montos de transacciones y datos de contacto individuales.
La filtración se identificó a finales de agosto, cuando los investigadores encontraron un servidor de almacenamiento accesible públicamente, alojado en Amazon Web Services (AWS), con un alarmante total de 273,000 documentos PDF vinculados a transferencias bancarias de clientes indios.
Detalles de la violación de datos
Los documentos expuestos contenían principalmente formularios de transacción destinados a ser procesados a través del National Automated Clearing House (NACH), un sistema centralizado utilizado por diversos bancos en India para gestionar transacciones recurrentes de alto volumen, como pagos de salarios, reembolsos de préstamos y pagos de servicios públicos.
Según los hallazgos compartidos por UpGuard, esta violación de datos involucró al menos 38 bancos e instituciones financieras diferentes. Los investigadores señalaron que el volumen de documentos expuestos representa un riesgo significativo para las personas cuyos datos personales han sido comprometidos.
Proceso de investigación y notificación
Al examinar un subconjunto de 55,000 de los archivos expuestos, UpGuard observó que más de la mitad mencionaba el nombre de Aye Finance, un prestamista indio que recientemente había solicitado una oferta pública inicial (IPO) de $171 millones. La siguiente institución más mencionada fue el State Bank of India, lo que evidencia el alcance del impacto de la filtración.
Al darse cuenta de la gravedad de la situación, UpGuard contactó de inmediato a Aye Finance, utilizando diversos métodos, incluidos correos electrónicos de soporte corporativo y atención al cliente. También informaron a la National Payments Corporation of India (NPCI), el organismo responsable de la supervisión del NACH.
Preocupaciones de seguridad continuas
A pesar de estas notificaciones, a principios de septiembre, los investigadores informaron que los datos seguían accesibles en línea, con miles de archivos adicionales subidos al servidor expuesto a diario. Esta exposición continua generó alarmas sobre el potencial uso indebido de la información sensible.
En respuesta a los riesgos persistentes, UpGuard elevó el asunto alertando al Equipo de Respuesta a Emergencias Informáticas de India (CERT-In). Tras esta intervención, se tomaron medidas para asegurar los datos expuestos.
Responsabilidad y falta de respuesta
Sin embargo, persiste una incertidumbre sobre la responsabilidad en esta violación de seguridad. Cuando se le pidió un comentario, el portavoz de la NPCI, Ankur Dahiya, afirmó que los datos comprometidos no se originaron en sus sistemas. Enfatizó que una revisión exhaustiva confirmó que no se habían expuesto registros relacionados con NACH.
Los intentos de obtener comentarios del cofundador y CEO de Aye Finance, Sanjay Sharma, no tuvieron éxito. Asimismo, el State Bank of India no proporcionó respuesta al ser contactado. Esta falta de compromiso plantea interrogantes sobre la transparencia y la responsabilidad en torno al incidente.
La filtración se identificó a finales de agosto, cuando los investigadores encontraron un servidor de almacenamiento accesible públicamente, alojado en Amazon Web Services (AWS), con un alarmante total de 273,000 documentos PDF vinculados a transferencias bancarias de clientes indios.0
