Continúan surgiendo malas noticias con respecto al hackeo del que fue víctima Equifax el jueves pasado, una empresa financiera dedicada a mantener los registros de los consumidores para que los negocios puedan saber qué tan riesgoso es otorgarles un crédito o extenderles nuevas líneas. Oficialmente se había confirmado que la filtración de datos afectó a clientes de Canadá y el Reino Unido, pero en realidad no serían los únicos países afectados por este incidente sin precedentes. Chile, Ecuador, Paraguay, Peru, Uruguay, Brasil y Argentina estarían en la lista, lugares donde Equifax lleva a cabo operaciones y tiene clientes. Además, hoy vence el tiempo que los ladrones le dieron para pagar 600 bitcoins (1,8 millones de euros al precio actual) a cambio de no hacer públicos los datos.

• Desde la aplicación llamada Veraz podían visualizarse datos de empleados y de clientes argentinos, todo en texto plano.
• PastHole Hacking Team han dado a la firma Equifax de plazo hasta hoy viernes para abonar 1,8 millones de euros. Si no lo hacen filtrarán los datos de casi 200 millones de personas en sus bases de datos 
• El precio del rescate, es la misma cantidad que se embolsaron tres altos directivos de la compañia al vender acciones de la misma el 1 de agosto, cuando se acababa de descubrir el robo y no se había informado aún a la opinión pública. El robo de datos se descubrió el 29 de julio y Equifax no ha avisado públicamente hasta el 7 de septiembre.
• Equifax ha demostrado históricamente su dejadez respecto a los datos de la vida creditica de la población de Estados Unidos y otros 23 países que tiene bajo su control. Entre ellos, España, donde Equifax gestiona el principal listado de morosos a través de la Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF).

Precisamente, es Equifax Argentina la que protagoniza un nuevo reporte, después que investigadores de la firma Hold Security descubrieran que el portal que usan para gestionar los reportes de disputas de los clientes de ese país era prácticamente inseguro. Su usuario y contraseña era simplemente “admin”, según informa Krebs on Security.

Los investigadores no tardaron en descubrir la nula seguridad en la aplicación llamada Veraz, accesible para todos y con acceso al registro de más de 100 empleados de Equifax Veraz, desvelando nombres, usuarios y correos, además de permitir la adición, modificación y eliminación de usuarios.




En la página para editar la información de los empleados se descubrió que la contraseña de cada uno de ellos estaba conformada por su apellido o por una combinación de sus iniciales y su apellido, ocultada por puntos, pero visible mediante el código fuente de la página. Cualquiera que tuviera conocimiento de esta información habría descubierto lo vulnerable que era la aplicación.

Pero esto no es todo, pues desde el portal para empleados de la página web equifax.com.ar se podía acceder a más de 14 mil registros de quejas de clientes contactando a Equifax mediante fax, teléfono o correo electrónico, aproximadamente 715 páginas con información del número de seguridad social y nombres de los mismos, así como detalles de su queja.

Alex Holden, fundador de la firma que descubrió esta nueva vulnerabilidad, considera que “esto es sólo negligencia”, porque “en este caso, su aproximación hacia la seguridad era simplemente abismal, y es difícil creer que el resto de sus operaciones sean mucho mejores”.

En cuanto Krebs on Security contactó a Equifax al respecto, los abogados de la compañía dijeron al autor que lo contactarían después que “validaran la queja”. Y así fue: la aplicación Veraz fue deshabilitada, mientras Equifax investiga como es que esto sucedió.

Según Equifax, los atacantes entraron a través de una "vulnerabilidad en una aplicación web" que podría ser un fallo en el servidor web Apache, aunque la Fundación Apache acaba de negarlo.

Para complicarlo más, en mayo hubó otro interesante hackeo: el de la empresa filial de Equifax, TALX, que ofrece pagos y devoluciones de impuestos online. Los trabajadores de TALX usaban PINs de cuatro dígitos como contraseñas, que los atacantes descubrieron fácilmente y con los que consiguieron acceso al sistema al menos entre el 17 de abril y el 29 de marzo de este año, justo un mes antes de la primera intrusión documentada en Equifax.

Fuentes:
https://www.fayerwayer.com/2017/09/equifax-argentina-usaba-usuario-y-contrasena-admin-en-su-portal/
https://www.elconfidencial.com/tecnologia/2017-09-15/equifax-hackers-ciberseguridad-asnef_1443367/
https://krebsonsecurity.com/2017/09/ayuda-help-equifax-has-my-data/