El culpable silencioso detrás de la mayoría de las filtraciones de datos

Cuando la gente imagina una filtración de datos, suele pensar en un hacker encapuchado atravesando firewalls o desplegando ransomware contra una red corporativa. Pero según una investigación de seguridad reciente destacada por TechRadar, la mayor fuente de datos personales expuestos no es un criminal sofisticado en absoluto. Es una base de datos mal configurada, dejada abierta en internet por la propia organización que debería protegerla.

La magnitud de este problema no es nueva, pero sigue siendo asombrosa. A finales de 2015, el investigador de seguridad Chris Vickery descubrió una base de datos que contenía la información personal de 191 millones de votantes, un tesoro de 300 GB accesible públicamente sin contraseña ni autenticación necesaria. Nadie forzó la entrada. No hubo malware de por medio. Alguien simplemente configuró una base de datos sin los controles de acceso adecuados, y permaneció expuesta para cualquiera que supiera dónde buscar.

Ese incidente de hace una década ilustra un patrón que, según los investigadores de seguridad, nunca ha desaparecido realmente: las bases de datos mal configuradas siguen siendo la principal amenaza para la seguridad de los datos, superando a menudo a los incidentes de hacking tradicionales en cuanto al volumen puro de registros expuestos.

Por qué la mala configuración supera al hacking como amenaza

Puede parecer contradictorio que un simple error de configuración pueda exponer más datos que los ciberataques deliberados, pero la lógica tiene sentido una vez que se entiende cómo funciona la infraestructura de datos moderna. Las empresas y los organismos gubernamentales dependen cada vez más de bases de datos en la nube y de cubos de almacenamiento para gestionar enormes cantidades de información. Poner en marcha una nueva base de datos lleva minutos. Configurarla correctamente, con autenticación adecuada, restricciones de red y cifrado, requiere más tiempo y experiencia, y es el paso que con frecuencia se omite o se realiza incorrectamente.

A diferencia de un hackeo dirigido, que generalmente requiere esfuerzo, habilidad técnica y un plan para atacar un objetivo específico, una base de datos mal configurada a menudo simplemente está allí, indexada por motores de búsqueda o herramientas de escaneo, esperando a ser encontrada por casualidad. Los investigadores de seguridad, los periodistas y, sí, los actores maliciosos, buscan rutinariamente estas bases de datos abiertas porque no necesitan eludir ninguna defensa. La puerta se dejó abierta de par en par.

Esto no significa que las filtraciones tradicionales y los ataques de ransomware no sean amenazas graves. Incidentes como el ataque de ransomware Spirals a una empresa de TI asiática muestran que actores decididos continúan extorsionando a organizaciones mediante intrusiones dirigidas. Y afirmaciones como el supuesto robo del código fuente de Accenture por el hacker '888' demuestran que el robo deliberado de datos corporativos sensibles sigue siendo una preocupación activa. Pero en términos de volumen bruto, la exposición silenciosa y accidental causada por una base de datos mal asegurada a menudo empequeñece lo que cualquier campaña de hacking individual puede lograr.

Las VPN y el cifrado no son una solución completa

Para los lectores que confían en una VPN para proteger su actividad en línea, conviene entender una verdad incómoda: una VPN protege su conexión a internet, no las bases de datos que las empresas utilizan para almacenar su información una vez que usted la ha entregado. Si una empresa a la que usted confía su dirección de correo electrónico, número de teléfono o datos de pago configura incorrectamente sus sistemas internos, ninguna cantidad de cifrado personal de su parte impedirá que esos datos queden expuestos.

Por eso son tan importantes las filtraciones que implican datos personales almacenados, como los incidentes que afectaron a los asistentes de alto perfil del Tribeca Film Festival o la filtración resurgida de Suno que expuso 55 millones de correos electrónicos y datos de Stripe. Estos incidentes muestran que, una vez que sus datos abandonan su dispositivo y entran en la base de datos de una empresa, su privacidad depende enteramente de las prácticas de seguridad de esa organización, no de sus propias herramientas.

Qué significa esto para usted

Como consumidor, no puede auditar personalmente las configuraciones de base de datos de cada servicio que utiliza, pero sí puede tomar decisiones más informadas. Busque empresas que sean transparentes sobre sus prácticas de seguridad, que tengan un historial de divulgación rápida de filtraciones y que utilicen cifrado para los datos en reposo, no solo para los datos en tránsito. Pregúntese si un servicio minimiza los datos personales que recopila en primer lugar. Cuanta menos información sensible almacene una empresa, menos daño podrá causar una base de datos mal configurada si alguna vez queda expuesta.

También vale la pena recordar que las bases de datos mal configuradas afectan a organizaciones de todos los tamaños, desde pequeñas startups hasta bases de datos nacionales de votantes. No es un problema limitado a empresas con presupuestos de seguridad débiles; es un problema sistémico vinculado a la rapidez con la que se despliega la infraestructura en la nube frente al cuidado con el que se asegura.

Recomendaciones prácticas

  • Use contraseñas únicas y active la autenticación multifactor siempre que sea posible, para que una sola base de datos expuesta no comprometa varias cuentas.
  • Esté atento a las notificaciones de filtraciones y considere el uso de servicios de seguimiento de filtraciones para saber cuándo sus datos han quedado expuestos.
  • Prefiera servicios que publiquen políticas claras de retención de datos y seguridad, y que minimicen la información personal que recopilan.
  • Recuerde que una VPN protege su tráfico, no las bases de datos que contienen su información almacenada; la protección de datos requiere un enfoque por capas.

Es probable que las bases de datos mal configuradas sigan siendo la principal causa de exposiciones de datos a gran escala en el futuro previsible, simplemente porque el ritmo de adopción de la nube sigue superando a la configuración cuidadosa. Mantenerse informado sobre cómo y dónde se almacenan sus datos, y exigir responsabilidad a los servicios que utiliza, sigue siendo una de las formas más prácticas de reducir su riesgo personal.